Un nuovo colpo all’economia grigia del cybercrime, a cinque mesi esatti dalla tornata precedente. Europol, con i partner globali, ha smantellato l’infrastruttura criminale a supporto dei malware Gootloader, CastleRAT e StealC, nell’ultima offensiva di Operation Endgame, il più ampio sforzo internazionale mai condotto contro gli abilitatori del ransomware, con oltre 30 partner pubblici e privati stabilmente coinvolti.
Nel corso delle azioni coordinate, le forze dell’ordine — affiancate da soggetti privati — sono intervenute su 235 server e 257 domini. L’intervento ha permesso di mettere in sicurezza 6,4 milioni di dataset di vittime, alimentando il flusso di notifiche verso aziende ed enti compromessi, e di individuare oltre 6 milioni di credenziali vittime all’interno dell’infrastruttura criminale sequestrata nel corso della settimana. Eurojust ha supportato le autorità giudiziarie nello scambio di informazioni e nella sincronizzazione delle azioni.
Il bersaglio dichiarato resta il modello “cybercrime-as-a-service”: strumenti venduti o noleggiati a terzi che fungono da moltiplicatore di crimini ulteriori, dall’attacco ransomware al furto di dati. Gootloader, dropper/loader che veicolava finti documenti legali attraverso siti compromessi — spesso istanze WordPress violate — ha portato al sequestro di 14 server e 218 domini, con 681 siti infetti bonificati; la catena di infezione apriva la strada all’installazione di ransomware per l’estorsione digitale. CastleRAT, trojan di accesso remoto noto dal 2025, dotato di architettura tecnica moderna, deployment flessibile e meccanismi che ne rendono difficile il rilevamento, ha prodotto la cifratura di numerosi dataset e la paralisi di interi sistemi IT, costringendo imprese e organizzazioni a pagare riscatti: 120 server e 39 domini sequestrati, con i dati delle vittime condivisi per le necessarie allerte. Su StealC, stealer con funzione di dropper diffuso tramite molteplici vettori d’attacco, sono stati smantellati 102 server.
Il contesto è quello di una coalizione che opera ormai su cicli ravvicinati. La fase precedente di Endgame, condotta dal 15 al 19 giugno 2026 con la partecipazione di Australia, Belgio, Canada, Danimarca, Francia, Germania, Paesi Bassi, Regno Unito e Stati Uniti, aveva neutralizzato 326 server e 142 domini, recuperando circa 27 milioni di credenziali rubate e vincolando oltre 41 milioni di euro in cripto-asset criminali, con circa 15.000 siti web bonificati — tra cui i 14.971 infetti da SocGholish. In quell’occasione il ruolo di guida investigativa fu assunto dal BKA tedesco con la Procura generale di Francoforte, e il contributo canadese fu assicurato dalla RCMP. È la stessa struttura di partnership — con Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, Shadowserver e Orange Cyberdefense tra i partner privati — a sostenerne la continuità.
Il ruolo di Europol è assicurato dal Centro europeo per la criminalità informatica (EC3), che ha fornito cyber intelligence, tracciamento finanziario e notifiche alle vittime. Sullo sfondo, la partita geostrategica è sempre più nitida: la deterrenza informatica si misura sulla capacità di colpire l’infrastruttura condivisa — server, domini, hosting — prima che diventi il braccio operativo di attacchi su scala industriale.
Europol, 6.4 million victim datasets secured in international operation against malware networks – Gootloader, CastleRAT, and StealC malware targeted in latest Operation ENDGAME cyber strike, 12 novembre 2026
