Europol et des policiers de neuf pays ont démantelé l'infrastructure de trois programmes malveillants qui volaient des mots de passe et donnaient un accès distant aux ordinateurs : Gootloader, CastleRAT et StealC. Les autorités ont saisi 235 serveurs et 257 domaines et sécurisé 6,4 millions d'ensembles de données de victimes, selon l'agence européenne de police.
L'action est une nouvelle phase de l'Opération Endgame, qu'Europol décrit comme le plus grand effort international contre ceux qui facilitent les attaques de rançongiciels (ransomware). Plus de 30 partenaires publics et privés y participent. Eurojust, l'organisme de coopération judiciaire de l'Union européenne, a soutenu l'échange d'informations entre les parquets.
Des forces de Bulgarie, du Canada, du Danemark, de l'Allemagne, de Moldavie, des Pays-Bas, de Pologne, du Royaume-Uni et des États-Unis sont intervenues. Dans le cas américain, le communiqué mentionne le FBI, le Service d'enquête criminelle de la défense et la section des crimes informatiques du Département de la Justice.
Europol explique que les trois outils fonctionnaient comme un service loué à d'autres délinquants. Avec eux, les clients des réseaux criminels pouvaient installer des rançongiciels ou voler des données sans développer leur propre logiciel.
Gootloader se distribuait via des documents légaux falsifiés hébergés sur des sites web compromis, souvent des pages créées avec WordPress. Celui qui téléchargeait le fichier était infecté. Dans cette opération, 218 domaines ont été désactivés et 681 sites affectés ont été nettoyés, selon le communiqué.
CastleRAT est un cheval de Troie d'accès distant, connu depuis 2025, qui permet de contrôler un ordinateur à distance. Europol attribue à son utilisation le chiffrement de nombreux ensembles de données, la paralysie de systèmes informatiques complets et des paiements de rançon par des entreprises et des organisations.
StealC est conçu pour extraire les mots de passe, les données d'accueil sauvegardées et les identités numériques des équipements infectés, et les mettre à disposition pour leur vente ou leur utilisation frauduleuse. Europol souligne que l'action contre StealC poursuit les efforts initiés en juin 2026.
Pendant l'action, les autorités ont identifié plus de six millions d'identifiants de victimes dans l'infrastructure saisie. Europol affirme que les suspects les utilisaient pour les vendre et les employer dans d'autres attaques, y compris le rançongiciel.
Les données des victimes seront chargées sur des plateformes d'alerte : HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation et le centre de cybersécurité des Pays-Bas (NL-NCSC). Le communiqué précise que ces alertes correspondent aux identifiants volés avec CastleRAT.
Aux administrateurs de sites WordPress, Europol a demandé de changer les mots de passe, d'activer la vérification en deux étapes et de corriger les vulnérabilités. Gootloader se propageait justement via ce type de sites qui avaient été compromis.
Le communiqué n'informe pas d'arrestations ni n'indique combien de victimes sont des particuliers ou des entreprises. Europol a publié le bilan le 12 novembre 2026, après une semaine d'actions coordonnées.
Récemment, l'entreprise de cybersécurité Kaspersky a découvert BlackX, un bootkit exploitant la vulnérabilité Baton Drop pour contourner Secure Boot sous Windows, même sur les ordinateurs déjà patchés par Microsoft, car la mise à jour seule n'active pas une protection complète et nécessite des étapes supplémentaires de configuration manuelle par les administrateurs.
Le malware, détecté lors d'une campagne de cyberespionnage contre des organisations diplomatiques d'Asie centrale au début de 2026, est une version modernisée de BlackLotus et sert d'outil secondaire à haute persistance une fois que les attaquants ont déjà compromis le réseau interne et obtenu des privilèges administrateur.
Après avoir désactivé les logiciels de sécurité, BlackX active l'espionnage en abusant de services cloud légitimes tels que Google Drive, OneDrive et Yandex Disk. Kaspersky recommande de vérifier que la configuration de sécurité est complète, de limiter les privilèges administrateur et de surveiller en continu les systèmes d'entreprise.
Bibliothèque Mot Avec
Trois guides choisis en fonction du sujet de cet article.
Cybersécurité pratique pour non-techniciens
Réduisez les risques qui comptent vraiment, sans jargon ni fausse promesse de sécurité parfaite.
Découvrir le livre
Piloter un projet hybride en 2026
Choisissez le bon niveau de prévision, apprenez assez vite et gardez la décision humaine.
Découvrir le livre
De l’intention à l’action
Transformez une intention importante en comportement régulier, sans méthode magique ni culpabilisation.
Découvrir le livre
L'entreprise de centres de données basée à Singapour s'est engagée à faire preuve de transparence face à Washington au milieu d'accusations de détournement de puces avancées d'intelligence artificielle et de liens avec une présumée agente du gouvernement chinois.
Le conseil d'administration du géant de l'intelligence artificielle débat de la recherche d'un nouveau PDG face à la possible démission de son fondateur. Les figures qui émergent au milieu d'une forte chute boursière
Le modèle de Google DeepMind analyse des millions de variations génétiques pour identifier comment elles affectent l'activité des gènes dans différentes cellules humaines.
L'assistant d'Anthropic a enregistré une croissance annuelle de 536,3 % et s'est hissé au 25e rang des sites web les plus visités au monde.
L'entreprise américaine est passée de la fabrication de cartes graphiques pour les jeux vidéo à la tête du marché des puces spécialisées dans l'intelligence artificielle.