Europol bersama aparat penegak hukum dari sembilan negara membongkar infrastruktur malware Gootloader, CastleRAT, dan StealC. Dalam tahap terbaru operasi Endgame, pihak berwenang menyita 235 server dan 257 domain yang mendukung jaringan kejahatan siber tersebut.
Operasi ini juga mengamankan 6,4 juta kumpulan data korban dari infrastruktur kriminal. Data hasil infeksi malware itu dapat diperdagangkan dan digunakan kembali untuk serangan lain, termasuk pembobolan yang berujung pada ransomware.
Tiga malware dengan peran berbeda
Gootloader merupakan malware pemuat yang aktif sejak 2020. Fungsinya membuka jalan bagi muatan berbahaya berikutnya, sehingga infeksi awal dapat berkembang menjadi serangan yang lebih luas.
Menurut Europol, Gootloader menyebar melalui dokumen hukum palsu yang ditawarkan di situs terkompromi, termasuk situs WordPress. Pengunduhan dokumen tersebut dapat memicu infeksi dan membuka akses tidak sah. Dalam penindakan terkait Gootloader, 681 situs terinfeksi berhasil dipulihkan.
CastleRAT adalah trojan akses jarak jauh yang dikenal sejak 2025. Malware ini memungkinkan pelaku mengendalikan komputer korban dari lokasi lain. Europol menyebut penggunaannya terkait dengan enkripsi data dan gangguan sistem TI yang kemudian dimanfaatkan untuk pemerasan.
Sementara itu, StealC berfokus pada pencurian informasi seperti kata sandi, kredensial tersimpan, dan identitas digital. Malware ini juga memiliki fungsi dropper, sehingga perannya tidak berhenti pada pengambilan data saja.
Perbedaan tersebut memperlihatkan mengapa penindakan menyasar beberapa jenis malware sekaligus. Pemuat, alat kendali jarak jauh, dan pencuri informasi dapat mendukung tahapan berbeda dalam ekosistem kejahatan siber, meskipun tidak selalu digunakan bersama dalam satu insiden.
Data korban untuk pemberitahuan
Europol menyatakan informasi korban akan disalurkan melalui HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation, dan NL-NCSC. Jalur tersebut digunakan untuk membantu pemberitahuan mengenai kredensial curian yang terkait CastleRAT.
Pengguna WordPress turut diminta memperbarui kredensial, mengaktifkan autentikasi multifaktor, dan menutup kerentanan. Langkah pemulihan akun tetap penting karena penyitaan infrastruktur tidak dengan sendirinya mengganti kata sandi yang sudah dicuri atau membersihkan seluruh perangkat korban.
Kerja sama aparat dan mitra swasta
Negara yang berpartisipasi adalah Bulgaria, Kanada, Denmark, Jerman, Moldova, Belanda, Polandia, Inggris, dan Amerika Serikat. Europol serta Eurojust mendukung koordinasi lintas batas, dengan bantuan mitra swasta untuk mengidentifikasi dan menindak infrastruktur berbahaya.
Pusat Kejahatan Siber Eropa atau EC3 membantu melalui intelijen siber, pelacakan keuangan, dan pemberitahuan korban. Eurojust mendukung pertukaran informasi serta penyelarasan tindakan antarlembaga peradilan.
Melanjutkan rangkaian operasi Endgame
Penindakan ini merupakan kelanjutan operasi Endgame yang menargetkan jaringan pendukung kejahatan siber sebagai layanan. Pada Juni 2026, rangkaian operasi yang sama membersihkan hampir 15.000 situs WordPress terinfeksi dan menyita 106 server yang digunakan SocGholish serta kelompok Evil Corp.
Masih pada Juni, penindakan terhadap Amadey dan StealC melumpuhkan 326 server dan 142 domain. Saat itu, pihak berwenang memulihkan sekitar 27 juta kredensial yang dicuri dari lebih dari 385.000 sistem terkompromi.
Rangkaian tindakan tersebut menunjukkan bahwa operasi diarahkan pada infrastruktur dan layanan yang memungkinkan serangan lanjutan. Bagi korban, pemberitahuan kebocoran tetap perlu diikuti pengamanan akun agar kredensial yang sudah terekspos tidak terus menjadi pintu masuk.
Sumber: Europol – 6.4 million victim datasets secured in international operation against malware networks
