Endgame operasyonunda Gootloader, CastleRAT ve StealC altyapısı çökertildi
Europol, 12 Kasım'da Endgame operasyonunun son aşamasında Gootloader, CastleRAT ve StealC zararlı yazılımlarının altyapısına yönelik eylemlerde 235 sunucuya ve 257 alan adına müdahale edildiğini açıkladı. Kolluk kuvvetleri bu altyapılarda kurbanlara ait 6 milyondan fazla kimlik bilgisi buldu.
- 2 dk okuma
- 1 kaynak
Kısaca
- Gootloader'da 14 sunucu ve 218 alan adı kapatıldı, zararlıyı dağıtan 681 site temizlendi. CastleRAT'te 120 sunucuya ve 39 alan adına el konuldu, StealC'de 102 sunucu söküldü.
- CastleRAT nedeniyle çalınan kimlik bilgileri Have I Been Pwned ve Shadowserver gibi platformlar üzerinden paylaşılacak. Europol WordPress kullanıcılarına kimlik bilgilerini güncellemelerini, çok faktörlü kimlik doğrulamayı açmalarını ve açıkları kapatmalarını öneriyor.
- Operasyona Almanya, ABD, İngiltere, Hollanda, Kanada, Polonya, Danimarka, Bulgaristan ve Moldova'dan kurumlar katıldı.
Europol, 12 Kasım’da uluslararası ortaklarıyla birlikte Gootloader, CastleRAT ve StealC zararlı yazılımlarının arkasındaki suç altyapısını çökerttiğini duyurdu. Europol’e göre eş zamanlı eylemlerde kolluk kuvvetleri özel sektör ortaklarıyla birlikte 235 sunucuya ve 257 alan adına müdahale etti. Operasyon, Europol’ün fidye yazılımı saldırılarının önünü açan araçlara karşı bugüne kadarki en büyük uluslararası çaba olarak tanımladığı Endgame operasyonunun parçası.
Europol’e göre operasyon, bu araçların fidye yazılımı saldırıları ve veri hırsızlığı gibi başka suçlara zemin hazırladığı “hizmet olarak siber suç” modellerini hedef aldı.
Hedef alınan zararlılar
- Gootloader: Ele geçirilmiş web siteleri, sıklıkla da hacklenmiş WordPress siteleri üzerinden sahte hukuki belgeler dağıtan bir yükleyici (dropper ve loader). Belgeleri indiren kurbanların bilgisayarına bulaşıyor ve fidye yazılımı kurulumu gibi başka suçların önünü açıyor. 14 sunucu ve 218 alan adı kapatıldı, bulaşmış 681 site temizlendi.
- CastleRAT: 2025’ten beri bilinen bir uzaktan erişim truva atı (RAT). Europol’e göre CastleRAT’in kullanımı çok sayıda verinin şifrelenmesine, bilgi sistemlerinin tamamen çökmesine ve etkilenen kurumların fidye ödemek zorunda kalmasına yol açtı. 120 sunucuya ve 39 alan adına el konuldu.
- StealC: Parolaları, kayıtlı erişim bilgilerini ve dijital kimlikleri çalan ve başka zararlıları da indirebilen bir bilgi hırsızı (stealer). Haziran 2026’daki eylemlerin devamı olarak 102 sunucu söküldü.
Europol’ün zararlı başına verdiği sunucu sayılarının toplamı 236, açıkladığı toplam ise 235.
Kimlik bilgileri
Europol’e göre eylem sırasında, suçlulara ait olan ve bu hafta el konulan altyapıda kurbanlara ait 6 milyondan fazla kimlik bilgisi tespit edildi. Şüpheliler kurbanlara bulaştırdıkları zararlılarla çaldıkları bu bilgileri satıyordu ve bilgiler daha sonra fidye yazılımı gibi başka saldırılarda kullanılıyordu.
Europol, CastleRAT nedeniyle kimlik bilgileri çalınan kurbanları uyarmak için verilerin Have I Been Pwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, Shadowserver Vakfı ve Hollanda Ulusal Siber Güvenlik Merkezi (NL-NCSC) üzerinden paylaşılacağını açıkladı. Kurum, WordPress kullanıcılarına kimlik bilgilerini güncellemelerini, çok faktörlü kimlik doğrulamayı etkinleştirmelerini ve açıkları kapatmalarını öneriyor.
Katılımcılar
Operasyona Almanya Federal Kriminal Polis Dairesi (BKA), ABD’den FBI, Adalet Bakanlığı’nın bilgisayar suçları birimi CCIPS ve askerî soruşturma birimleri, İngiltere Ulusal Suç Ajansı (NCA), Hollanda polisi ve savcılığı ile Kanada, Polonya, Danimarka, Bulgaristan ve Moldova’dan kurumlar katıldı. Europol’ün Avrupa Siber Suç Merkezi (EC3) siber istihbarat, finansal iz sürme ve kurban bildirimi desteği verdi, Eurojust da adli makamlar arasındaki bilgi alışverişini ve eylemlerin eş zamanlı yürütülmesini destekledi.