Une nouvelle vague de l’opération policière internationale Endgame a mis hors service l’infrastructure de trois logiciels malveillants, Gootloader, CastleRAT et StealC : 235 serveurs et 257 noms de domaine ont été saisis. Selon BleepingComputer, qui relaie Europol, 6,4 millions de jeux de données de victimes ont été retrouvés, dont plus de 6 millions d’identifiants. Les entreprises ont intérêt à vérifier si leurs comptes en font partie.
Ce qui a été saisi
L’action, rendue publique le 12 novembre, a été coordonnée par Europol et Eurojust avec des services de neuf pays : Allemagne, Bulgarie, Canada, Danemark, États-Unis, Moldavie, Pays-Bas, Pologne et Royaume-Uni. Des partenaires privés ont aidé à repérer puis bloquer les machines utilisées par les criminels. Aucune interpellation n’est mentionnée à ce stade.
LeMagIT, qui présente l’opération comme le premier épisode de la « saison 4 » d’Endgame, détaille le bilan par famille de logiciels :
- Gootloader : 14 serveurs et 218 domaines neutralisés, ainsi que le nettoyage de 681 sites WordPress compromis ;
- CastleRAT : 120 serveurs et 39 domaines ;
- StealC : 102 serveurs, dans la continuité d’actions déjà menées contre ce voleur de données.
Toujours selon LeMagIT, qui s’appuie sur une vidéo diffusée sur le site de l’opération, tout est parti de la compromission d’un panneau d’administration de Gootloader, hébergé en Afrique du Sud.
Trois outils, une même chaîne criminelle
Ces programmes ne jouent pas le même rôle, mais ils se complètent. Gootloader est un « chargeur » : sa fonction est d’ouvrir la porte à d’autres logiciels. Il circule depuis au moins 2020 d’après la documentation disponible, et depuis 2018 selon les forces de l’ordre. Son mode opératoire, décrit par LeMagIT, repose sur l’empoisonnement des résultats de recherche : la victime clique sur une page, souvent un site WordPress piraté, et télécharge une archive Zip contenant du JavaScript. L’ouverture du fichier lance des commandes PowerShell qui prennent le contrôle de l’ordinateur, lequel devient ensuite un point d’entrée dans le réseau de l’entreprise.
StealC est un voleur d’informations : il aspire les identifiants, les portefeuilles de cryptomonnaies et d’autres données sensibles stockées sur le poste infecté. CastleRAT, apparu en 2025, est un cheval de Troie d’accès à distance qui permet de piloter la machine compromise. Selon BleepingComputer, ces trois familles ont servi à diverses bandes criminelles, y compris des groupes de rançongiciel. LeMagIT rappelle qu’en 2024, Microsoft avait observé l’acteur Vanilla Tempest exploiter des accès obtenus par Gootloader pour déployer le rançongiciel de Vice Society, puis celui d’INC.
Une opération qui dure depuis des mois
Endgame procède par vagues successives. BleepingComputer en rappelle plusieurs : en juin 2026, près de 15 000 sites WordPress infectés avaient été nettoyés et 106 serveurs liés à SocGholish et à Evil Corp saisis. Une autre action, plus tard dans le même mois, avait visé Amadey et StealC, avec 326 serveurs et 142 domaines mis hors ligne et quelque 27 millions d’identifiants récupérés sur plus de 385 000 systèmes compromis. Un an avant la vague de novembre 2026, plus de 1 000 serveurs utilisés par Rhadamanthys, VenomRAT et Elysium avaient été démantelés.
La répétition des coups portés à StealC montre la limite de ces opérations : saisir des serveurs perturbe un service criminel, mais ne l’éteint pas forcément si ses opérateurs restent libres de reconstruire leur infrastructure.
Ce que les entreprises doivent faire maintenant
Les données retrouvées seront partagées avec plusieurs services d’alerte afin de prévenir les victimes : Have I Been Pwned, l’entreprise française Sekoia, la Shadowserver Foundation, ainsi que DIVD, CheckjeHack, NoMoreLeaks et le centre néerlandais de cybersécurité NL-NCSC, d’après BleepingComputer. Pour une entreprise, plusieurs gestes s’imposent :
- vérifier sur Have I Been Pwned si les adresses professionnelles du domaine apparaissent dans ces nouvelles fuites, et surveiller les alertes de son prestataire de sécurité ;
- réinitialiser les mots de passe des comptes signalés et activer l’authentification multifacteur, en priorité sur les accès à distance et les comptes d’administration ;
- pour les sites WordPress, changer les identifiants, activer la double authentification et appliquer les correctifs, comme le recommandent les enquêteurs ;
- sensibiliser les équipes au risque des fichiers Zip contenant des scripts et téléchargés depuis un résultat de recherche.
Un identifiant volé par StealC peut rester exploitable longtemps après l’infection initiale. La présence d’un compte dans ces données doit donc être traitée comme une compromission avérée, et non comme une simple alerte.
Questions fréquentes
Qu’est-ce que Gootloader ?
Un logiciel malveillant de type chargeur, actif depuis au moins 2020. Il se propage via des résultats de recherche piégés et une archive Zip contenant du JavaScript, puis prépare l’arrivée d’autres outils, parfois un rançongiciel.
Comment savoir si mes identifiants ont été dérobés ?
Les données saisies doivent être transmises notamment à Have I Been Pwned, où l’on peut vérifier une adresse électronique ou surveiller un domaine. Sekoia et la Shadowserver Foundation font aussi partie des destinataires.
Ces logiciels malveillants ont-ils disparu ?
Leur infrastructure connue a été saisie, mais aucune arrestation n’a été annoncée. Les vagues précédentes d’Endgame montrent que certains services, comme StealC, peuvent réapparaître et nécessiter de nouvelles actions.
Sources
- Opération Endgame : la saison 4 commence avec Gootloader — LeMagIT, 2026-11-12
- Police dismantle Gootloader, CastleRAT, StealC malware infrastructure — BleepingComputer, 2026-11-12