In de zomer van 2026 heeft een internationale politieoperatie, Operation Endgame, servers achter de malwaretools Gootloader, CastleRAT en StealC uitgeschakeld. Volgens de betrokken instanties is daarbij bovendien een grote hoeveelheid gestolen inloggegevens veiliggesteld: om en nabij 6,4 miljoen logins van meer dan 40.000 slachtoffers.
De actie richt zich op een breed misbruikspad: van aanvallers die systemen binnendringen, tot het stelen van wachtwoorden en het mogelijk maken van ransomware. Voor beheerders en organisaties is dit vooral relevant omdat de gebruikte werkwijze (onder andere via gehackte webpagina’s en WordPress-omgevingen) in de praktijk nog steeds voorkomt.
Wat is Operation Endgame precies?
Operation Endgame is een internationale campagne tegen malwarekriminelen die slachtoffers toegang geven tot hun computers. In het gezamenlijke optreden werden verschillende onderdelen getroffen: servers, domeinen en infrastructuur die nodig waren om malware te leveren en te besturen.
Volgens een operationeel overzicht van Europol werkten meerdere landen samen bij de actie. In totaal werden 235 servers en 257 domeinen geraakt binnen de keten van de drie tools.
Gootloader: loader, ransomware-schakel en WordPress-rol
Van de drie tools is Gootloader een loader. Zodra het op een computer staat, kan het extra malware ophalen—met name ransomware. Daarmee functioneert het als de schakel tussen de eerste toegang en de uiteindelijke schade.
De besmetting verliep volgens de politie vaak via nagemaakte “legale” documenten die op gehackte websites werden geplaatst. Veel van die websites waren WordPress-sites. Daarnaast werd SEO-poisoning beschreven: aanvallers probeerden hun gemanipuleerde pagina’s hoog in de zoekresultaten te krijgen, zodat slachtoffers sneller op de juiste (kwaadaardige) pagina terechtkwamen.
De Amerikaanse justitie stelde dat Gootloader al vanaf ten minste 2018 wereldwijd op grote schaal voorkwam. In de Verenigde Staten is het in verband gebracht met ransomware-aanvallen tegen minstens 44 slachtoffers, met verliezen van ongeveer $28,8 miljoen. Duitse onderzoekers noemden op basis van het huidige inzicht een veel groter totaalbeeld: “miljoenen” besmette systemen sinds de tool naar verluidt vanaf 2020 in beeld kwam.
Wat is er met Gootloader gedaan?
Tijdens Operation Endgame werd voor Gootloader onder meer gerapporteerd dat de politie 14 servers en 218 domeinen uitschakelde. Daarnaast is malware verwijderd van 681 gehackte websites.
Met toestemming van de rechtbanken konden Amerikaanse instanties en internationale partners Gootloader ook van meer dan 100 servers halen. Dat omvatte locaties waar gehackte WordPress-omgevingen onderdeel waren van de leveringsketen. Ook werden VS-domeinen in beslag genomen die werden gebruikt om de malware te leveren en te controleren.
CastleRAT: remote access trojan
CastleRAT is een remote access trojan (RAT). Dit type malware maakt het mogelijk dat aanvallers een geïnfecteerde computer op afstand besturen en zo controle kunnen uitoefenen.
De politie meldt dat CastleRAT al bekend is sinds 2025. Binnen Operation Endgame werden volgens de samenvatting 120 servers en 39 domeinen van CastleRAT getroffen.
StealC: infostealer van wachtwoorden en logins
StealC is beschreven als een infostealer: het exfiltreert wachtwoorden en login-gegevens van geïnfecteerde systemen. Die gestolen credentials kunnen vervolgens worden verkocht of misbruikt.
In deze week van de actie werd StealC opnieuw aangepakt. Eerder—in juni—was er al een operatie tegen StealC. De politie geeft aan dat operators na die eerdere ingreep hun infrastructuur aanpasten en opnieuw online kwamen om uit beeld te blijven van onderzoekers.
Bulletproof hosting en herstart na eerdere acties
De Duitse politie stelt dat een deel van StealC’s “belangrijke infrastructuur” draaide op Virtualine/Omegatech, een hostingdienst die zich richtte op criminele gebruikers. Die hostingdienst werd eind oktober door de politie offline gehaald, als onderdeel van een afzonderlijke takedown.
Dat verklaart deels waarom StealC telkens weer kan terugkomen: zolang de command-and-control en hostingmogelijkheden beschikbaar blijven, is de kans groter dat nieuwe varianten of aangepaste infrastructuur snel actief worden.
6,4 miljoen gestolen logins: waarom dit voor slachtoffers telt
Naast het neerhalen van servers en domeinen benadrukken politie en partners vooral de impact op slachtoffers. In totaal werd naar schatting 6,4 miljoen gestolen logins in beslag genomen, afkomstig van meer dan 40.000 slachtoffers.
Belangrijk om te begrijpen: zelfs wanneer servers zijn uitgeschakeld, kan de schade blijven doorlopen. De politie geeft aan dat criminelen mogelijk nog steeds beschikken over gestolen inloggegevens. Ook kunnen ze—zolang malware op een apparaat blijft staan—blijven proberen om wachtwoorden uit dezelfde omgeving te verzamelen.
Wat kunnen slachtoffers doen na Operation Endgame?
Slachtoffers en organisaties krijgen ondersteuning via een controle-service. De Nederlandse politie heeft data die door CastleRAT is gestolen geladen in “Check uw hack”. Via die dienst kan iemand een e-mailadres invoeren. Als dat adres in de dataset voorkomt, ontvangt de gebruiker binnen enkele minuten een e-mail met stappen om de malware te verwijderen. Komt het adres niet voor, dan wordt geen bericht gestuurd.
De politie waarschuwt nadrukkelijk voor nepberichten: e-mails die doen alsof ze van de politie komen en vragen om te “checken”, zijn volgens de melding niet echt. De politie verstuurt geen e-mails met links.
Daarnaast werkt men samen met andere partijen, waaronder o.a. Have I Been Pwned en de Shadowserver Foundation. Die laatste organisatie ondersteunt het opsporen van besmette systemen samen met internetproviders en CSIRTs (incident response teams).
Specifiek voor WordPress-beheerders: praktische maatregelen
Omdat de leveringsketen van Gootloader volgens de politie vaak via gehackte WordPress-sites liep, krijgen WordPress-eigenaren extra aandacht. In Nederland en Denemarken zijn adviezen gedeeld, waaronder een set concrete maatregelen.
De kernpunten uit dat advies zijn:
- Wijzig alle beheerderswachtwoorden naar unieke wachtwoorden van minimaal 12 tekens.
- Schakel multi-factor authenticatie (MFA) in.
- Verwijder accounts die je niet herkent.
- Zoek naar en verwijder backdoor-code op de site.
- Update WordPress, thema’s en plugins.
- Beperk toegang tot /wp-admin alleen tot de IP-adressen van je eigen apparaten.
Deze maatregelen pakken zowel het “toegang” als het “blijvend misbruik” aan. Updates verminderen de kans dat bekende kwetsbaarheden opnieuw worden benut, terwijl MFA en wachtwoordbeleid het effect van gestolen credentials verkleinen.
Waarom dit soort operaties nog steeds tijd kost
Operation Endgame laat zien hoe breed een campagne kan zijn: van server- en domeintakedowns tot het opruimen van toegang bij websites. Toch benadrukken de autoriteiten dat de keten niet in één keer “op nul” staat.
Ten eerste kan malware blijven draaien zolang een besmet apparaat niet wordt opgeruimd. Ten tweede kunnen gestolen logins al in omloop zijn. Ten slotte tonen eerdere gevallen—zoals de aanpassingen van StealC na eerdere operaties—dat criminelen hun infrastructuur kunnen wijzigen om detectie te ontwijken.
Daarom blijft het advies: combineer incident checks (zoals het controleren van e-mailadressen) met technische maatregelen op systemen en websites.
Extra context: vergelijkbare aanpak in eerdere campagnes
Als je meer wilt weten over hoe autoriteiten en onderzoekers in de praktijk ingrijpen bij malwarecampagnes, is het nuttig om ook te kijken naar eerdere updates over het stoppen van misbruik door AI-agenten en het principe van containment. Je leest daarover in AI-agent stoppen: zo reageer je bij misbruik.
Ook bij web- en accountgerelateerde aanvallen (zoals wanneer gestolen sessies of credentials worden ingezet) zie je terugkerende patronen. Om die reden kan het helpen om bredere hardening en monitoring op je eigen omgeving door te voeren, in lijn met wat bij andere kwetsbaarheden en campagnes is geconstateerd. Daarover vind je relevante handvatten in Chrome en Firefox patches: 180+ kwetsbaarheden.
Conclusie
Operation Endgame heeft met succes een belangrijk deel van de infrastructuur achter Gootloader, CastleRAT en StealC uitgeschakeld. Daarmee zijn servers en domeinen geraakt en is een grote hoeveelheid gestolen logins veiliggesteld. Toch is de impact voor slachtoffers niet automatisch “direct afgelopen”: zolang wachtwoorden misbruikt kunnen worden of malware op systemen blijft draaien, blijft risico bestaan.
Voor organisaties—zeker WordPress-beheerders—is het belangrijk om de praktische stappen uit de adviezen te volgen: updates, MFA, wachtwoordrotatie, het opschonen van verdachte accounts en het controleren op backdoors. Zo verklein je de kans dat gestolen credentials opnieuw leiden tot toegang of verdere schade.
Bron: https://thehackernews.com/2026/11/operation-endgame-takes-down-gootloader.html
