Newshot 
本周，一次国际警方行动关停了 Gootloader、CastleRAT 和 StealC 背后的服务器。犯罪分子利用这三种恶意软件工具入侵计算机、窃取密码并发动勒索软件攻击。
据德国联邦刑事警察局（BKA）称，警方还没收了约 640 万个被盗登录凭据，涉及超过 4 万名受害者。
Gootloader 是一种 loader：一旦进入计算机，它就能下载其他恶意软件，尤其是勒索软件。它通过放置在被入侵网站（通常是 WordPress 站点）上的伪造法律文件传播。犯罪分子利用 SEO 投毒把这些网站推到搜索结果前列。
美国司法部表示，自 2018 年以来，Gootloader 已在全球感染至少 25,000 台计算机。其运营者利用这些计算机感染更多计算机，再把新感染机器的访问权限卖给勒索软件犯罪分子。在美国，Gootloader 被用于针对至少 44 名受害者的勒索软件攻击，造成约 2880 万美元损失。
德国警方在其德语声明中给出的数字要高得多。根据调查人员目前掌握的情况，Gootloader 自 2020 年首次出现以来，已在全球感染数百万台计算机。
根据为此次行动提供支持的 Europol 的行动摘要，警方共查获这三种工具相关的 235 台服务器和 257 个域名。此次关停行动是 Operation Endgame 的一部分，这是一项打击犯罪分子用于入侵受害者计算机的恶意软件的国际警方行动。
针对 Gootloader，警方关停了 14 台服务器和 218 个域名，并从 681 个被入侵网站清除了恶意软件。
经法院批准，美国机构及其国际合作伙伴从 100 多台服务器（包括被入侵的 WordPress 网站）上清除了 Gootloader。据司法部公告，他们还查获了用于投递和控制该恶意软件的美国域名。
CastleRAT 是一种自 2025 年起为人所知的远程访问木马（RAT），可让攻击者远程控制被感染的计算机。警方查获了其 120 台服务器和 39 个域名。
StealC 是一种 infostealer，会从被感染的计算机中外泄密码和其他登录凭据，使犯罪分子得以出售或滥用这些信息。在 6 月的一次行动之后，警方本周再次关停了其服务器。
德国警方表示，6 月行动之后，其运营者更换了基础设施并使其重新上线，以避开调查人员的追查。StealC 的部分关键基础设施运行在 Virtualine/Omegatech 上，这是一家向犯罪分子推销其服务的防弹托管服务商。
警方在 10 月下旬的一次关停行动中关闭了那家托管服务商。
本周的行动未宣布任何逮捕。据荷兰警方的新闻稿，荷兰警方还针对 Gootloader 的主要嫌疑人开展了进一步调查。
受害者和网站所有者可以做什么
荷兰警方已将 CastleRAT 窃取的数据导入 Check your hack，这是一项警方服务，人们可以在其中输入电子邮件地址。如果该地址在数据中，警方会在几分钟内发送一封邮件，说明清除恶意软件的步骤。如果不在，则不会收到邮件。
未来几周还将添加更多数据。该服务只检查单个地址，而非整个域名，但组织可以加入 No More Leaks，这是一个与私营合作伙伴共享数据的警方项目。被盗数据也在与包括 Have I Been Pwned 和 Shadowserver Foundation 在内的服务共享。
声称来自警察并要求人们检查数据的电子邮件是假的。警察从不会发送带有链接的电子邮件。
警方在常见问题解答中表示，即使警方没收了数据，犯罪分子可能仍然拥有被盗的登录信息。只要恶意软件留在计算机上，犯罪分子也可能继续获取其密码。
司法部表示，Shadowserver Foundation 正在与互联网服务提供商和计算机安全事件响应团队 (CSIRTs) 合作，寻找受感染的计算机并通知其所有者。据 BKA 称，在德国，联邦信息安全办公室 (BSI) 正在帮助通知受害者。
丹麦的国家特别犯罪单位 (NSK) 帮助清理了 681 个网站。该单位在一份丹麦语声明中表示，它认为攻击者通过犯罪渠道获得的被盗密码进入了这些网站。然后他们安装了后门。
警官删除了攻击者的代码和访问权限，并为网站所有者留下了一条消息，其中包含有关保护其网站的建议。
丹麦和荷兰的警方建议 WordPress 网站所有者采取以下步骤，其中一些步骤已在荷兰的建议表中列出：
- 将所有管理员密码更改为唯一的、至少 12 个字符的密码。
- 开启多因素认证 (MFA)。
- 删除您不认识的账户。
- 从网站中删除任何后门代码。
- 更新 WordPress、其主题和插件。
- 仅允许从您自己设备的 IP 地址访问 /wp-admin 登录页面。