Wetshandhavingsdiensten in onder meer de VS, Europa, Australië en Canada hebben de infrastructuur achter Gootloader CastleRAT StealC in beslag genomen. Volgens Europol is daarmee een cruciale schakel in meerdere cybercriminele activiteiten doorbroken: van verspreiding via misleidende websites tot het inzetten van systemen voor ransomware.
De operatie, onderdeel van Operation Endgame, richtte zich op servers en domeinen die werden gebruikt om malware te distribueren en opbrengsten te genereren. De impact is niet alleen technisch: er zijn ook grote hoeveelheden gestolen credentials beschikbaar gekomen voor verdere bescherming van slachtoffers.
Wat is er precies verstoord?
De acties concentreerden zich op drie bekende malwarefamilies: Gootloader, CastleRAT en StealC. Deze werden volgens de berichtgeving ondersteund door een cybercrime-as-a-service model, waarbij aanvallers toegang kregen tot functionaliteit om hun eigen aanvallen uit te voeren.
De onderzoekers namen in totaal 235 servers en 257 domeinen mee die verbonden waren aan de activiteiten rondom deze families. Daardoor werden distributienetwerken aanzienlijk geraakt, waardoor campagnes moeilijker of tijdelijk onmogelijk werden om op dezelfde manier door te zetten.
Gootloader: dropper via nep-juridische content
Gootloader is al lange tijd actief—minstens sinds 2018. Het verspreidingsmechanisme leunt op gecompromitteerde websites met valse juridische documenten. Daarmee proberen aanvallers gebruikers naar pagina’s te lokken die malware starten of doorgeven, vaak in de rol van dropper.
Volgens het Amerikaanse ministerie van Justitie heeft Gootloader inmiddels meer dan 25.000 computers geïnfecteerd. De door DoJ genoemde schade in de VS wordt geschat op ongeveer $28,8 miljoen.
De recente verstoring zorgde er volgens de DoJ voor dat de dropper werd verwijderd van 100 servers. Europol meldt daarnaast dat 14 servers en 218 domeinen die aan Gootloader waren gekoppeld, zijn afgenomen. Verder zouden 681 besmette websites zijn opgeschoond.
CastleRAT: remote access trojan als vliegwiel
CastleRAT draait als remote access trojan (RAT) en is in ieder geval actief sinds 2025. Met die toegang konden threat actors geïnfecteerde machines beheren. Vervolgens werd die controle misbruikt om andere malware binnen te halen, waaronder bestandsversleutelende ransomware.
De wetshandhavingsactie pakte ook de operationele kant aan: er werden 120 servers en 39 domeinen in beslag genomen die werden gebruikt door de beheerders van CastleRAT. Daarbij werd ook slachtofferdata meegenomen die gekoppeld was aan de activiteiten.
StealC: info-stealer en dropper
StealC functioneert als zowel info-stealer als dropper. De focus ligt volgens de berichtgeving vooral op wachtwoord- en datadiefstal, inclusief onderdelen rond identiteitsmisbruik.
StealC is minstens actief sinds 2023. In de opvolging van eerdere acties werd 102 StealC-servers verstoord.
De nieuwe golf van maatregelen resulteerde volgens Europol in het in beslag nemen van 6,4 miljoen slachtoffercredentials. Die worden gedeeld met een reeks partijen voor verdere analyse en preventie, waaronder HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation en NL-NCSC.
Waarom gestolen inloggegevens nog steeds grote schade kunnen doen
Europol geeft aan dat de daders inloggegevens gebruikten die ze van slachtoffers hadden gestolen. De accounts werden vervolgens verkocht en later ook ingezet voor andere cyberaanvallen—waaronder ransomware.
Voor organisaties betekent dit dat “alleen” het uitzetten van een server niet genoeg is. Wanneer credentials in handen zijn van criminelen, ontstaat er risico op misbruik van dezelfde of vergelijkbare inloggegevens bij andere diensten. Daarom blijft het essentieel om wachtwoordhergebruik te beperken, authenticatie waar mogelijk te versterken en monitoring aan te scherpen.
Wat kunnen organisaties nu doen?
Ook al is de infrastructuur verstoord, besmettingen en neveneffecten kunnen blijven bestaan. Pak daarom de praktische punten aan die passen bij de aard van deze dreigingen: dropper-distributie, RAT-controle en credential theft.
1) Controleer op sporen van infectie
Richt je op ongebruikelijke downloads, gedrag dat lijkt op webinjectie na bezoek aan externe sites en afwijkende processen op werkstations of servers. Waar mogelijk: koppel events aan endpoints en identity logs.
2) Handhaaf een streng wachtwoord- en accountbeleid
Omdat er volgens de verstoring miljoenen credentials zijn buitgemaakt, is het verstandig om wachtwoordherstel en reset-procedures klaar te hebben voor mogelijk getroffen accounts. Overweeg bovendien het toepassen van extra controles, zoals multi-factor authenticatie, waar dat kan.
3) Verbeter je security baseline tegen malafide content
Gootloader werd verspreid via gecompromitteerde websites met misleidende documenten. Dat onderstreept hoe belangrijk webbeveiliging is: denk aan filtering, browserisolatie waar relevant en een aanpak voor compromittering van externe contentbronnen.
Als je wilt aansluiten bij eerdere thema’s rondom takedowns en incidentreactie, lees ook Citrix NetScaler: patch kritieke kwetsbaarheden voor een voorbeeld van hoe het verhelpen van kwetsbaarheden onderdeel kan zijn van bredere preventie.
Link met bredere verstoringen: waarom dit soort acties telt
Deze operatie past in een bredere trend: wetshandhaving en internationale partijen grijpen in op infrastructuur die als ruggengraat dient voor campagnes. Eerder werden al vergelijkbare verstoringen gemeld met betrekking tot phishingmarkten en botnets. Zulke ingrepen kunnen de snelheid en schaal van aanvallen verminderen—maar ze nemen niet automatisch alle besmettingen weg.
Wil je meer achtergrond over hoe disrupties het landschap beïnvloeden, dan is het relevant om te vergelijken met andere verstoringen. Bijvoorbeeld: Microsoft 365 storing: impact op Outlook en Teams is geen cybersecurity-incident met malware, maar helpt organisaties wel om de impact van verstoringen op processen en gebruikers te begrijpen. Voor directe malware-actie is het vooral zaak om de technische en identity-kant te borgen.
Tot slot toont de datadeling via meerdere partijen aan dat credential-disclosure en monitoring cruciaal zijn. Hoe sneller je weet welke accounts of combinaties risico lopen, hoe eerder je schade kunt beperken.
Conclusie
De verstoring van Gootloader CastleRAT StealC laat zien dat cybercrime-as-a-service niet alleen draait op code, maar ook op servers, domeinen en controlemechanismen. Door servers en domeinen uit de lucht te halen en onderliggende activiteiten te ontmantelen, is de distributie en de operationele controle stevig geraakt.
Tegelijk blijft de belangrijkste les voor organisaties: zodra credentials of systemen zijn gecompromitteerd, moet je reageren met endpoint- en identitymaatregelen. Gebruik de beschikbare signalen, controleer op verdachte activiteit en versterk je accountbescherming—zodat een disruptie niet verandert in een vertraagde impact voor jouw organisatie.
