Alisina NawabiEuropol meldt op 12 november dat 235 servers en 257 domeinen achter Gootloader, CastleRAT en StealC offline zijn gehaald in een nieuwe fase van Operatie Endgame.
Gestolen inloggegevens kunnen later toegang geven tot zakelijke e-mail en clouddiensten, en worden volgens Europol verkocht voor fraude of ransomware. Nederlandse organisaties krijgen via NCSC, DIVD en partnerplatforms een controlepunt voor zakelijke accounts zodra de nieuwe dataset beschikbaar komt. Het getal 6,4 miljoen telt inloggegevens; de publicatie noemt geen aantal unieke bedrijven of Nederlands aandeel.
Drie malwarefamilies raken verschillende schakels
De actie richt zich op cybercrime-as-a-service. CyberScoop beschrijft een servicemodel waarin de ene groep malwaretools bouwt en onderhoudt en andere groepen die gebruiken voor inbraken, datadiefstal en afpersing. De drie families vervullen verschillende rollen. Gootloader brengt malware binnen, CastleRAT geeft aanvallers toegang tot een besmet systeem en StealC steelt gegevens die later opnieuw kunnen worden gebruikt.
Gootloader verspreidde valse juridische documenten via gehackte websites, vaak sites die op WordPress draaien. Wie zo’n document opent, kan een besmetting oplopen waarna andere malware volgt. Bij deze familie zijn 14 servers en 218 domeinen aangepakt; daarnaast zijn 681 besmette websites opgeschoond. Een bedrijfswebsite kan zo deel worden van de verspreidingsroute, ook als de aanvaller zelf buiten de organisatie opereert.
CastleRAT is een trojan voor toegang op afstand, die Europol sinds 2025 kent. De malware kan een aanvaller een geïnfecteerde computer laten besturen en gebruikte technische trucs om detectie te bemoeilijken. De actie nam 120 servers en 39 domeinen rond CastleRAT in beslag. Europol schrijft dat eerder gebruik van de trojan leidde tot versleutelde datasets, ontregelde IT-systemen en losgeldbetalingen.
StealC haalt wachtwoorden, opgeslagen toegangsgegevens en digitale identiteiten van besmette computers. Criminelen kunnen die gegevens verhandelen of gebruiken voor fraude en vervolgaanvallen. In deze golf zijn 102 StealC-servers ontmanteld. In augustus stal infostealer-malware Claude-sessiecookies waarmee aanvallers tweefactorauthenticatie omzeilden.
StealC keert terug in een bredere takedown
De eerdere Endgame-golf haalde SocGholish, Amadey en StealC offline. De Nederlandse politie meldde bij die juniactie meer dan 24 miljoen inloggegevens van 384.000 computersystemen en ruim 1,5 miljoen diensten en bedrijven. Europol publiceerde voor dezelfde actieweek 326 servers en 142 domeinen offline en 27 miljoen teruggevonden inloggegevens. Het zijn afzonderlijke totalen in twee publicaties.
De novemberactie voegt Gootloader en CastleRAT toe aan dezelfde operatie en haalt opnieuw StealC-infrastructuur neer. De deelnemerslijst omvat politie uit negen landen, waaronder de Nederlandse politie, en het Openbaar Ministerie. Operatie Endgame wordt gesteund door meer dan dertig publieke en private partners.
De juni- en novembercijfers vormen geen voor-en-na-meting. De aankondigingen beschrijven verschillende actieweken en malwaregroepen. Ze geven geen gezamenlijke telmethode of informatie over overlap tussen de datasets. Het lagere aantal inloggegevens in november zegt daarom niet hoeveel eerdere slachtoffers zijn hersteld of hoeveel criminelen nog toegang hebben.
Nieuwe slachtofferdata volgen via meldkanalen
Europol noemt Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation en het Nederlandse NCSC als kanalen om slachtoffers van gestolen CastleRAT-inloggegevens te waarschuwen. De aankondiging zegt dat de gegevens beschikbaar worden gesteld, maar noemt geen datum waarop de novemberdataset per platform te raadplegen is.
De politie beschrijft Check je Hack als een controle op een e-mailadres, met een bericht bij een positieve match. Een negatieve uitslag levert geen e-mail op. De controle zegt daarmee of een adres in een opgenomen dataset voorkomt; de politiepagina beschrijft geen scan van computers of toets of een oud wachtwoord nog werkt.
Voor zakelijke controles biedt DIVD in een openbare Endgame-case een route voor beheerders: CERTs, CSIRTs en beveiligingsteams kunnen informatie opvragen voor domeinen in hun achterban. Die pagina gaat over de eerdere SocGholish-, StealC- en Amadey-golven uit juni, niet over de nieuwe CastleRAT-set. De werkwijze is dus een bestaande route, geen bevestiging dat de gegevens uit november al zijn aangeleverd.
De routes werken op twee niveaus: individuele e-mailchecks en gegevensuitwisseling met een CERT, CSIRT of beveiligingsteam. Een positieve match zegt dat een adres in de dataset staat, niet dat het wachtwoord nog werkt. Europol adviseert WordPress-beheerders om inloggegevens bij te werken, multifactorauthenticatie in te schakelen en kwetsbaarheden te patchen.
De cijfers missen een Nederlandse telling
De 6,4 miljoen slaat op inloggegevens die volgens Europol in criminele infrastructuur zijn aangetroffen en in beslag genomen. De publicatie noemt geen aantal unieke personen of bedrijven, geen Nederlandse uitsplitsing en geen aandeel inloggegevens dat nog geldig is. Een dataset met inloggegevens kan daarom niet worden vertaald naar hetzelfde aantal getroffen organisaties.
Ook de servertellingen sluiten niet precies op elkaar aan. Europol noemt 14 Gootloader-servers, 120 CastleRAT-servers en 102 StealC-servers. Samen zijn dat 236 servers, terwijl de kop en de samenvatting van de operatie uitkomen op 235. De publicatie licht niet toe of een server bij meer dan één categorie hoort of dat de uitsplitsing een telverschil bevat. De gemelde 257 domeinen zijn wel gelijk aan de twee genoemde deelcijfers: 218 voor Gootloader en 39 voor CastleRAT.
De operatie legt opnieuw drie schakels bloot: een gehackte website kan malware verspreiden, een besmet apparaat kan inloggegevens prijsgeven en een trojan voor toegang op afstand kan systemen openstellen voor criminelen. De aangekondigde gegevensoverdracht kan Nederlandse organisaties helpen accounts te vinden die aandacht vragen. Europol heeft nog geen Nederlandse bedrijfstelling of beschikbaarheidsdatum voor de nieuwe dataset gepubliceerd.
Veelgestelde vragen
Van signaal naar actie
Ik denk mee, ontwerp en bouw de werkwijze achter duidelijke opvolging, van het eerste beveiligingssignaal tot automatisering en livegang. Waar het kan, richt ik de oplossing self-hosted in.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
