🌐 Contexte

Le 12 novembre 2026, Europol publie un communiqué officiel annonçant une nouvelle phase de l’Opération ENDGAME, la plus grande opération internationale jamais menée contre les facilitateurs de ransomware. L’opération implique plus de 30 partenaires publics et privés issus de 9 pays, coordonnés par Europol (EC3) et Eurojust.

🎯 Malwares ciblés et infrastructure démantelée

Trois outils malveillants ont été ciblés :

  • Gootloader (dropper/loader) : distribué via de faux documents juridiques sur des sites WordPress compromis, utilisé comme vecteur initial pour l’installation de ransomwares. 14 serveurs et 218 domaines démantelés, 681 sites infectés assainis.
  • CastleRAT (RAT, connu depuis 2025) : trojan d’accès à distance à architecture moderne, utilisé pour chiffrer des données, paralyser des systèmes IT et extorquer des rançons. 120 serveurs et 39 domaines saisis.
  • StealC (stealer avec fonction dropper) : conçu pour exfiltrer mots de passe, identifiants et identités numériques, destiné au commerce de données et à la fraude. 102 serveurs démantelés, dans la continuité d’actions menées en juin 2026.

📊 Impact et données victimes

6,4 millions de jeux de données victimes ont été identifiés dans l’infrastructure criminelle saisie. Ces identifiants volés étaient destinés à la revente et à l’utilisation dans des cyberattaques ultérieures, notamment des ransomwares. Les données victimes seront rendues disponibles via HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, The Shadowserver Foundation et NL-NCSC.

🏛️ Participants

Les pays et agences impliqués incluent : Bulgarie (GDCOC), Canada (RCMP), Danemark (Politi), Allemagne (BKA), Moldavie (Centre de lutte contre la cybercriminalité), Pays-Bas (Politie, OM), Pologne (Bureau central de cybercriminalité), Royaume-Uni (NCA), États-Unis (DCIS, FBI Denver, Army CID, DOJ CCIPS), ainsi qu’Europol (EC3) et Eurojust.

📋 Type d’article

Communiqué de presse officiel d’Europol, dont le but principal est d’annoncer les résultats d’une opération de police internationale coordonnée contre des réseaux de distribution de malwares.

🧠 TTPs et IOCs détectés

TTP

  • T1566.002 — Phishing: Spearphishing Link (Initial Access)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1486 — Data Encrypted for Impact (Impact)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1071 — Application Layer Protocol (Command and Control)
  • T1219 — Remote Access Software (Command and Control)
  • T1584.001 — Compromise Infrastructure: Domains (Resource Development)

Malware / Outils

  • Gootloader (loader)
  • CastleRAT (rat)
  • StealC (stealer)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

  • ✅ europol.europa.eu — source reconnue (liste interne) (20pts)
  • ✅ 5178 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.europol.europa.eu/media-press/newsroom/news/64-million-victim-datasets-secured-in-international-operation-against-malware-networks