Des polices de neuf pays, coordonnées par Europol, ont mis hors service cette semaine des serveurs liés aux malwares Gootloader, CastleRAT et StealC, et récupéré plus de 6 millions d’identifiants volés sur des ordinateurs infectés. C’est une nouvelle salve de l’opération Endgame, dirigée contre les services qui ouvrent aux groupes de ransomware la porte des réseaux.

Selon Help Net Security, Europol et ses partenaires privés ont retiré 257 domaines aux criminels, et plus de 230 serveurs. Gootloader perd 14 serveurs et 218 domaines, CastleRAT 120 serveurs et 39 domaines, StealC 102 serveurs. BleepingComputer évoque lui aussi des centaines de serveurs et de domaines saisis dans neuf pays.

Les trois outils n’ont pas le même rôle. Gootloader sert de chargeur : il s’installe, puis télécharge d’autres malwares. Ses opérateurs déposaient de faux documents juridiques sur des sites compromis, souvent des sites WordPress piratés, et les visiteurs qui les téléchargeaient étaient infectés, avec des rançongiciels et de l’extorsion à la clé. Au passage, 681 sites infectés ont été nettoyés. CastleRAT, connu depuis 2025, est un cheval de Troie d’accès à distance conçu, d’après Europol, pour être difficile à détecter ; l’agence le relie à des données chiffrées, des systèmes paralysés et des rançons versées. StealC est un voleur d’informations qui aspire mots de passe, identifiants enregistrés et identités numériques pour les revendre ou les utiliser dans des fraudes. L’action contre ses serveurs prolonge un travail commencé en juin 2026.

Quoi vérifier côté entreprise

Saisir des serveurs ne rend pas leur butin inoffensif. Les suspects vendaient les identifiants récoltés, et les acheteurs s’en sont servis pour d’autres attaques, dont des rançongiciels. Un compte présent dans ces lots doit donc être traité comme déjà exposé, même si l’infrastructure d’origine est tombée.

Les données de victimes liées à CastleRAT seront transmises à des services de notification, dont Have I Been Pwned : des alertes pourraient arriver prochainement. Inutile toutefois d’attendre pour agir : les équipes peuvent dès maintenant réinitialiser les mots de passe des comptes sensibles et, surtout, vérifier que l’authentification multifacteur est activée, ce qui complique sérieusement l’usage d’un mot de passe volé.

Europol demande en particulier aux utilisateurs de WordPress de changer leurs identifiants, d’activer l’authentification multifacteur et d’appliquer les correctifs. Gootloader prospérait sur des sites compromis : un site vitrine oublié peut servir de relais à des attaques contre ses propres visiteurs.

Reste une inconnue : Help Net Security ne précise pas combien de ces identifiants concernent des victimes en France.

Sources

• Operation Endgame malware takedown turns up over 6 million stolen logins, Help Net Security, 12 novembre 2026
• Police dismantle Gootloader, CastleRAT, StealC malware infrastructure, BleepingComputer, 12 novembre 2026