Europol y fuerzas de seguridad de nueve países desmantelaron la infraestructura de tres programas maliciosos dedicados al robo de contraseñas y al acceso remoto a computadoras. La operación, informada el 12 de noviembre de 2026, dejó 235 servidores y 257 dominios fuera de circulación, además de 6,4 millones de conjuntos de datos de víctimas asegurados.

Las herramientas identificadas son Gootloader, CastleRAT y StealC. Según la agencia europea de policía, funcionaban como un servicio que se alquilaba a otras redes criminales: sus clientes podían instalar ransomware o sustraer información sin necesidad de programar su propio software.

Nueve países y una misma operación

La acción forma parte de una nueva etapa de la Operación Endgame, que Europol describe como el mayor esfuerzo internacional contra quienes facilitan los ataques de secuestro de datos. En el operativo intervinieron más de 30 socios públicos y privados, con el apoyo de Eurojust para el intercambio de información entre fiscalías.

Participaron fuerzas de Bulgaria, Canadá, Dinamarca, Alemania, Moldavia, Países Bajos, Polonia, Reino Unido y Estados Unidos. Del lado estadounidense, el comunicado menciona al FBI, al Servicio de Investigación Criminal de Defensa y a la sección de delitos informáticos del Departamento de Justicia.

Cómo operaba cada herramienta

Gootloader llegaba a las víctimas a través de documentos legales falsos alojados en sitios web comprometidos, en muchos casos páginas construidas con WordPress. Quien descargaba el archivo quedaba infectado. En esta operación se dieron de baja 218 dominios y se limpiaron 681 sitios afectados.

CastleRAT, un troyano de acceso remoto conocido desde 2025, permitía controlar una computadora a distancia. Europol le atribuye el cifrado de numerosos conjuntos de datos, la parálisis de sistemas informáticos completos y el pago de rescates por parte de empresas y organizaciones.

StealC, en tanto, estaba diseñado para extraer contraseñas, datos de acceso guardados e identidades digitales de los equipos infectados, y ponerlos a la venta o a disposición de otros fraudes. La acción contra esta herramienta continúa los esfuerzos iniciados en junio de 2026, cuando otra fase de Endgame afectó a las redes Amadey y StealC: en ese momento se desactivaron 326 servidores y 142 dominios, y se recuperaron cerca de 27 millones de credenciales robadas a más de 385.000 sistemas.

Qué pueden hacer las víctimas

Durante el operativo, las autoridades identificaron más de seis millones de credenciales en la infraestructura incautada. Europol afirma que los sospechosos las usaban para venderlas y emplearlas en otros ataques, entre ellos el ransomware.

Los datos se cargarán en plataformas de aviso como HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation y el centro de ciberseguridad de los Países Bajos (NL-NCSC). El comunicado precisa que esas alertas corresponden a las credenciales robadas con CastleRAT.

A los administradores de sitios con WordPress, Europol les recomendó cambiar las contraseñas, activar la verificación en dos pasos y corregir las vulnerabilidades. Gootloader se propagaba justamente a través de ese tipo de páginas vulneradas.

El balance no informa de detenciones ni precisa cuántas de las víctimas son usuarios particulares y cuántas empresas. La publicación llegó después de una semana de acciones coordinadas.

Un contexto de amenazas en aumento

El anuncio se conoce poco después de que la firma de ciberseguridad Kaspersky detectara BlackX, un bootkit que explota la vulnerabilidad Baton Drop para sortear Secure Boot en Windows, incluso en equipos que ya tienen el parche de Microsoft. La actualización por sí sola no activa la protección completa: requiere pasos adicionales de configuración manual por parte de los administradores. El malware fue hallado durante una campaña de ciberespionaje contra organizaciones diplomáticas de Asia.