¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Operación Endgame sumó una nueva fase esta semana: Europol anunció el 12 de noviembre el desmantelamiento de la infraestructura criminal de Gootloader, CastleRAT y StealC, con 235 servidores y 257 dominios incautados tras acciones coordinadas de policías de nueve países.
En los servidores intervenidos, los agentes identificaron 6,4 millones de conjuntos de datos de víctimas. Europol precisa que entre ese material hay más de 6 millones de credenciales robadas que los sospechosos vendían para usarlas en otros ataques, incluidos los de ransomware. La cifra oficial es 6,4 millones: el titular en español que habló de 64 millones multiplica por diez lo que documenta la agencia europea.
Cada conjunto de datos reúne lo que el programa ladrón sacó de una computadora infectada: usuarios y contraseñas guardados en el navegador, datos de acceso a cuentas y, en el caso de StealC, también billeteras de criptomonedas y otra información sensible. Por eso la agencia habla de conjuntos de datos y no de personas contadas una a una: una misma víctima puede aparecer varias veces en el material incautado.
Las tres herramientas se ofrecían con el modelo de cibercrimen como servicio: unos delincuentes las crean y mantienen, y otros las compran o alquilan para colarse en computadoras ajenas, robar datos y preparar extorsiones. Por eso Endgame apunta a los proveedores de la cadena, no solo a quienes ejecutan cada ataque.
Qué hacía cada una de las tres redes
Gootloader es un cargador activo desde 2020 que abría la puerta de los sistemas. Se extendía con documentos legales falsos alojados en sitios web comprometidos, muchos de ellos páginas de WordPress pirateadas: quien descargaba el documento quedaba infectado y expuesto a la instalación de ransomware. La acción le retiró 14 servidores y 218 dominios y dejó limpios 681 sitios infectados.
CastleRAT es un troyano de acceso remoto conocido desde 2025: permite controlar a distancia una computadora infectada y usarla para fines criminales. Su arquitectura moderna y sus mecanismos para esquivar la detección complicaban identificarlo; su uso derivó en el cifrado de numerosos conjuntos de datos, sistemas informáticos enteros paralizados y empresas obligadas a pagar rescate. Se le incautaron 120 servidores y 39 dominios.
StealC es un ladrón de información con función de instalador que se propagaba por varias vías. Su tarea principal era extraer contraseñas, datos de acceso guardados e identidades digitales de las computadoras comprometidas para revenderlos y usarlos en fraudes. Los investigadores desmantelaron 102 de sus servidores, una fase que amplía las incautaciones que la misma operación ya había ejecutado contra esta red en junio de 2026.
En la acción participaron las policías de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, el Reino Unido y Estados Unidos, con la coordinación de Europol y Eurojust y el apoyo de socios privados que ayudaron a identificar y bloquear la infraestructura. Por Estados Unidos intervinieron el FBI, el servicio de investigación criminal de Defensa y la división de investigación criminal del Ejército.
El Centro Europeo de Ciberdelincuencia de Europol aportó inteligencia, rastreo financiero y el sistema de avisos a víctimas, dentro de la iniciativa europea EMPACT. Endgame reúne a más de 30 socios públicos y privados desde 2024; una de sus fases anteriores ya tumbó la web que los delincuentes usaban para probar si sus virus pasaban inadvertidos, otro eslabón del mismo mercado criminal.
La fase de esta semana se suma a las de junio de 2026, cuando Endgame limpió cerca de 15.000 sitios de WordPress infectados y retiró 106 servidores usados por la red SocGholish y el grupo ruso Evil Corp. En otra acción de ese mes contra Amadey y el propio StealC cayeron 326 servidores y 142 dominios, con unos 27 millones de credenciales robadas a más de 385.000 equipos comprometidos.
Cómo saber si tus credenciales están entre las incautadas
Los datos de las víctimas se cargarán en plataformas de aviso como Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, la Fundación Shadowserver y el centro nacional de ciberseguridad de los Países Bajos. Europol anuncia ese aviso para las credenciales robadas por CastleRAT, y cualquier persona puede comprobar ya su correo en Have I Been Pwned sin esperar a que le escriban.
La agencia europea también dirige un aviso a quienes administran sitios de WordPress, la vía de entrada de Gootloader: actualizar las credenciales, activar la verificación en dos pasos y corregir las vulnerabilidades del sitio. Reutilizar la misma contraseña en varios servicios convierte cada robo de este tipo en una llave maestra, así que cambiar las repetidas es la defensa inmediata mientras llegan los avisos.
El valor del material incautado está en el uso posterior: una credencial robada sirve para entrar en el correo de la víctima, restablecer contraseñas de otros servicios y abrir la puerta a un ataque de ransomware contra su empresa. Cortar el suministro en origen deja sin mercancía a los grupos que compran accesos ya conseguidos por otros.
Europol no anunció detenciones en esta fase: el avance es contra la infraestructura y el mercado de credenciales robadas, mientras las investigaciones continúan. Con los servidores incautados, las tres redes pierden su capacidad de distribución y los operadores se quedan sin el archivo de millones de accesos que vendían para encadenar nuevos ataques.
Fuente: Europol
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
