Europol 瓦解 Gootloader 等 3 款惡意軟體據點 查扣 235 台伺服器

Europol（歐洲刑警組織）於 2026 年 11 月 12 日（當地時間）宣布，已與各國執法機關合作，瓦解用於散布與操作惡意軟體 Gootloader、CastleRAT、StealC 的犯罪基礎設施。這是國際聯合行動「Operation Endgame」的最新一波查緝，對象為 235 台伺服器與 257 個網域。公告指出，在查扣的基礎設施中發現約 640 萬筆受害者登入憑證。

查扣 235 台伺服器與 257 個網域

根據公告，執法機關在公告發布當週展開的行動中，查扣 235 台伺服器與 257 個網域，重創這 3 款惡意軟體的散布網路。公告表示，這些是由執法機關與民間合作單位共同處置。

各惡意軟體的明細如下。

另外，明細中的伺服器數量加總為 236 台，與整體的 235 台相差 1 台。公告並未說明這項差異，也未公布是否有人遭逮捕或搜索，以及損失金額。

登入憑證在標題為 640 萬筆，內文為逾 600 萬筆

公告標題將取得的受害者資料集列為 640 萬筆。另一方面，內文則說明，在犯罪者持有、並由當局查扣的基礎設施中，發現超過 600 萬筆受害者登入憑證。

公告表示，這些資料將透過多個通知服務與機構提供，用以通知登入憑證遭 CastleRAT 竊取的受害者。公告列出的有 HaveIBeenPwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、The Shadowserver Foundation、NL-NCSC 共 7 個。提供的開始時間並未公布。

3 款都是入侵或竊取資訊的入口

首先，Gootloader 屬於投放器／載入器（用來送入其他惡意軟體的程式）。公告指出，它透過遭入侵的網站散布偽造的法律文件，讓攻擊者得以未經授權存取電腦系統。下載文件的受害者因此遭到感染，其中多數是經由遭駭的 WordPress 網站。

接著，CastleRAT 是自 2025 年起為人所知的遠端存取木馬（RAT）。公告說明，它具備新式的技術架構，可彈性部署，並設有使偵測變得困難的機制。公告稱，它的使用導致大量資料遭加密、整個 IT 系統癱瘓，以及贖金支付。

StealC 則是具投放功能的竊資軟體（竊取資訊的惡意軟體）。它透過多種途徑散播，擷取密碼、已儲存的存取資料與數位身分。公告表示，遭竊的資訊被用於資料買賣與詐欺。

延續 6 月查緝的 Operation Endgame 行動

Operation Endgame 官方網站刊有 Europol 於 2026 年 6 月 24 日發布的公告，對象為 SocGholish、Amadey、StealC 的網路。這次拆除 StealC 的 102 台伺服器，定位為延續 6 月以來的行動。

公告表示，這次行動鎖定的是「cybercrime-as-a-service」（把網路犯罪工具當成服務提供）型的模式。公告全文刊載於 Operation Endgame 官方網站。

WordPress 使用者應更新登入憑證並啟用多重要素驗證

公告呼籲 WordPress 使用者更新登入憑證、啟用多重要素驗證，並修補漏洞。原因在於公告說明，Gootloader 的感染多半經由遭駭的 WordPress 網站。

截至本文撰寫時，公告中沒有針對日本使用者的個別說明。受害者通知將於何時開始、涵蓋多大範圍，也未載明。

筆者觀點

一次讓 235 台伺服器與 257 個網域停止運作，應能讓使用這 3 款惡意軟體的攻擊者暫時失去立足點。遭竊的登入憑證交給通知服務這一點，也讓受害者多了自行察覺的管道，值得肯定。

不過，公告並未提及逮捕，營運者有可能在其他基礎設施上重啟活動。StealC 繼 6 月之後再度成為對象，應該顯示單一次查緝並未能完全阻止它。

話雖如此，如果每次查扣都能推進對受害者的通知，使用者一方減輕損害的空間就會擴大。筆者認為，不重複使用密碼、設定多重要素驗證這些基本對策，無論用途為何，終究最為可靠。

總結

Europol 與各國執法機關查扣作為 Gootloader、CastleRAT、StealC 據點的 235 台伺服器與 257 個網域，並取得約 640 萬筆受害者資料。這項行動與以 WordPress 經營網站的人，以及擔心登入憑證外洩的使用者有關。公告表示受害者資料將透過通知服務提供，但未說明開始時間。