Una nueva oleada de la operación policial internacional Endgame ha desactivado la infraestructura de tres programas maliciosos, Gootloader, CastleRAT y StealC: se han incautado 235 servidores y 257 nombres de dominio. Según BleepingComputer, que se hace eco de Europol, se han recuperado 6,4 millones de conjuntos de datos de víctimas, entre ellos más de 6 millones de credenciales. A las empresas les conviene comprobar si sus cuentas figuran entre ellos.
Lo que se ha incautado
La acción, hecha pública el 12 de noviembre, fue coordinada por Europol y Eurojust con servicios de nueve países: Alemania, Bulgaria, Canadá, Dinamarca, Estados Unidos, Moldavia, Países Bajos, Polonia y Reino Unido. Socios privados ayudaron a localizar y luego bloquear las máquinas utilizadas por los delincuentes. Por el momento no se menciona ninguna detención.
LeMagIT, que presenta la operación como el primer episodio de la «temporada 4» de Endgame, detalla el balance por familia de programas:
- Gootloader: 14 servidores y 218 dominios neutralizados, además de la limpieza de 681 sitios WordPress comprometidos;
- CastleRAT: 120 servidores y 39 dominios;
- StealC: 102 servidores, en la línea de acciones ya emprendidas contra este ladrón de datos.
Siempre según LeMagIT, que se basa en un vídeo difundido en el sitio de la operación, todo empezó con la vulneración de un panel de administración de Gootloader alojado en Sudáfrica.
Tres herramientas, una misma cadena criminal
Estos programas no desempeñan el mismo papel, pero se complementan. Gootloader es un «cargador»: su función es abrir la puerta a otros programas. Circula desde al menos 2020 según la documentación disponible, y desde 2018 según las fuerzas del orden. Su modus operandi, descrito por LeMagIT, se basa en el envenenamiento de los resultados de búsqueda: la víctima hace clic en una página, a menudo un sitio WordPress pirateado, y descarga un archivo Zip que contiene JavaScript. Al abrir el archivo se ejecutan comandos de PowerShell que toman el control del ordenador, que pasa a ser un punto de entrada en la red de la empresa.
StealC es un ladrón de información: extrae credenciales, monederos de criptomonedas y otros datos sensibles almacenados en el equipo infectado. CastleRAT, aparecido en 2025, es un troyano de acceso remoto que permite controlar la máquina comprometida. Según BleepingComputer, estas tres familias han sido utilizadas por diversas bandas criminales, incluidos grupos de ransomware. LeMagIT recuerda que en 2024 Microsoft observó al actor Vanilla Tempest aprovechar accesos obtenidos mediante Gootloader para desplegar el ransomware de Vice Society y, más tarde, el de INC.
Una operación que dura desde hace meses
Endgame actúa en oleadas sucesivas. BleepingComputer recuerda varias: en junio de 2026 se limpiaron cerca de 15.000 sitios WordPress infectados y se incautaron 106 servidores vinculados a SocGholish y a Evil Corp. Otra acción, más tarde ese mismo mes, apuntó a Amadey y StealC, con 326 servidores y 142 dominios desconectados y unos 27 millones de credenciales recuperadas de más de 385.000 sistemas comprometidos. Un año antes de la oleada de noviembre de 2026, se habían desmantelado más de 1.000 servidores utilizados por Rhadamanthys, VenomRAT y Elysium.
La repetición de los golpes contra StealC muestra el límite de estas operaciones: incautar servidores perturba un servicio criminal, pero no lo apaga necesariamente si sus operadores siguen libres para reconstruir su infraestructura.
Lo que deben hacer ahora las empresas
Los datos recuperados se compartirán con varios servicios de alerta para avisar a las víctimas: Have I Been Pwned, la empresa francesa Sekoia, la Shadowserver Foundation, así como DIVD, CheckjeHack, NoMoreLeaks y el centro neerlandés de ciberseguridad NL-NCSC, según BleepingComputer. Para una empresa, se imponen varias medidas:
- comprobar en Have I Been Pwned si las direcciones profesionales del dominio aparecen en estas nuevas filtraciones, y vigilar las alertas de su proveedor de seguridad;
- restablecer las contraseñas de las cuentas señaladas y activar la autenticación multifactor, prioritariamente en los accesos remotos y las cuentas de administración;
- en los sitios WordPress, cambiar las credenciales, activar la autenticación de doble factor y aplicar los parches, como recomiendan los investigadores;
- concienciar a los equipos sobre el riesgo de los archivos Zip que contienen scripts y se descargan desde un resultado de búsqueda.
Una credencial robada por StealC puede seguir siendo explotable mucho tiempo después de la infección inicial. La presencia de una cuenta en estos datos debe tratarse, por tanto, como una vulneración confirmada y no como una simple alerta.
Preguntas frecuentes
¿Qué es Gootloader?
Un programa malicioso de tipo cargador, activo desde al menos 2020. Se propaga mediante resultados de búsqueda trampa y un archivo Zip que contiene JavaScript, y después prepara la llegada de otras herramientas, a veces un ransomware.
¿Cómo saber si me han robado las credenciales?
Los datos incautados deben transmitirse, entre otros, a Have I Been Pwned, donde se puede comprobar una dirección de correo electrónico o vigilar un dominio. Sekoia y la Shadowserver Foundation también figuran entre los destinatarios.
¿Han desaparecido estos programas maliciosos?
Su infraestructura conocida ha sido incautada, pero no se ha anunciado ninguna detención. Las oleadas anteriores de Endgame muestran que algunos servicios, como StealC, pueden reaparecer y requerir nuevas acciones.
Fuentes
- Opération Endgame : la saison 4 commence avec Gootloader — LeMagIT, 2026-11-12
- Police dismantle Gootloader, CastleRAT, StealC malware infrastructure — BleepingComputer, 2026-11-12