Europol 捣毁 Gootloader 等 3 款恶意软件据点 查封 235 台服务器

Europol（欧洲刑警组织）于 2026 年 11 月 12 日（当地时间）宣布，已与多国执法机构合作，捣毁用于传播和运营恶意软件 Gootloader、CastleRAT、StealC 的犯罪基础设施。这是国际联合行动“Operation Endgame”的最新一轮打击，涉及 235 台服务器和 257 个域名。公告称，在被查封的基础设施中发现了约 640 万条受害者登录凭据。

查封 235 台服务器和 257 个域名

根据公告，执法机构在公告发布当周开展的行动中查封了 235 台服务器和 257 个域名，重创了这 3 款恶意软件的传播网络。公告表示，这些是执法机构与民间合作方共同处置的。

各恶意软件的明细如下。

另外，明细中的服务器数量相加为 236 台，与总数 235 台相差 1 台。公告没有解释这一差异，也没有公布是否有人被逮捕或被搜查，以及损失金额。

登录凭据标题称 640 万条，正文称超过 600 万条

公告标题将获取的受害者数据集列为 640 万条。而正文则说明，在犯罪分子持有、并被当局查封的基础设施中，发现了超过 600 万条受害者登录凭据。

公告表示，这些数据将通过多个通知服务和机构提供，用于提醒登录凭据被 CastleRAT 窃取的受害者。公告列出的有 HaveIBeenPwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、The Shadowserver Foundation、NL-NCSC 共 7 个。开始提供的时间没有公布。

3 款都是入侵或窃取信息的入口

首先，Gootloader 属于投放器／加载器（用于植入其他恶意软件的程序）。公告称，它通过被入侵的网站分发伪造的法律文件，使攻击者得以未经授权访问计算机系统。下载文件的受害者因此被感染，其中多数是经由被黑的 WordPress 网站。

其次，CastleRAT 是自 2025 年起为人所知的远程访问木马（RAT）。公告说明，它采用新式的技术架构，可以灵活部署，并带有使检测变得困难的机制。公告称，它的使用导致大量数据被加密、整个 IT 系统瘫痪，以及赎金支付。

StealC 则是带投放功能的窃密软件（窃取信息的恶意软件）。它通过多种途径传播，提取密码、已保存的访问数据和数字身份。公告表示，被窃取的信息被用于数据买卖和诈骗。

延续 6 月打击的 Operation Endgame 行动

Operation Endgame 官方网站刊有 Europol 于 2026 年 6 月 24 日发布的公告，对象为 SocGholish、Amadey、StealC 的网络。此次拆除 StealC 的 102 台服务器，被定位为 6 月以来行动的延续。

公告表示，此次行动针对的是“cybercrime-as-a-service”（把网络犯罪工具作为服务提供）型的模式。公告全文刊载于 Operation Endgame 官方网站。

WordPress 用户应更新登录凭据并启用多因素认证

公告呼吁 WordPress 用户更新登录凭据、启用多因素认证，并修补漏洞。原因在于公告说明，Gootloader 的感染多经由被黑的 WordPress 网站。

截至本文撰写时，公告中没有面向日本用户的单独说明。受害者通知何时开始、覆盖多大范围，也没有说明。

笔者观点

一次让 235 台服务器和 257 个域名停止运作，应当能让使用这 3 款恶意软件的攻击者暂时失去立足点。被窃取的登录凭据交给通知服务这一点，也让受害者多了自行发现的途径，值得肯定。

不过，公告没有提到逮捕，运营者有可能在其他基础设施上恢复活动。StealC 继 6 月之后再次成为对象，应该说明单次打击没能完全阻止它。

话虽如此，如果每次查封都能推进对受害者的通知，用户一方减轻损失的余地就会扩大。笔者认为，不重复使用密码、设置多因素认证这些基本措施，无论用途如何，终究最为可靠。

总结

Europol 与多国执法机构查封了作为 Gootloader、CastleRAT、StealC 据点的 235 台服务器和 257 个域名，并获取了约 640 万条受害者数据。这一行动与用 WordPress 运营网站的人，以及担心登录凭据泄露的用户有关。公告表示受害者数据将通过通知服务提供，但没有说明开始时间。