Operace Endgame: policie vyřadila servery Gootloaderu, CastleRATu a StealC, v datech je 6,4 milionu obětí

Co se stalo

Europol 12. listopadu 2026 oznámil další zásah v rámci mezinárodní operace Endgame proti infrastruktuře malwaru. Tentokrát policie spolu se soukromými partnery zasáhla proti třem rodinám malwaru:

Celkem jde podle Europolu o 235 serverů a 257 domén. (Součet serverů v jednotlivých řádcích dává 236 – rozdíl je přímo v oznámení.) V zabavené infrastruktuře policie našla přes 6 milionů přihlašovacích údajů obětí, titulek oznámení mluví o 6,4 milionu záznamů. Podle Europolu je podezřelí používali, údaje byly zabavené „tento týden“.

Oznámení Europolu nejmenuje zúčastněné státy, nehlásí žádné zatčení ani podezřelé.

Americké ministerstvo spravedlnosti (DOJ) ve stejný den zveřejnilo vlastní oznámení k Gootloaderu. Podle něj americké úřady s partnery na základě soudního povolení odstranily Gootloader z více než 100 serverů (včetně napadených webů na WordPressu) a zabavily americké domény, přes které se malware šířil a řídil. Gootloader podle DOJ od roku 2018 nakazil nejméně 25 000 počítačů po celém světě. Nakažené počítače tvořily botnet, přes který provozovatelé šířili nákazu dál a prodávali přístup ransomwarovým skupinám – v USA to vedlo k útokům na nejméně 44 obětí se škodou zhruba 28,8 milionu dolarů. Případ vede státní zastupitelství pro okres Colorado, příkazy byly odpečetěny tento týden. Na zásahu se podílely mimo jiné německá BKA, nizozemská policie, britská NCA, kanadská RCMP, australská AFP, dánská a pařížská policie a Europol. Ani DOJ nejmenuje obviněné.

Jak útoky fungovaly

Koho se to týká

• Lidé s nakaženým počítačem – jejich hesla, uložené přístupy a relace mohou být mezi 6 miliony zabavených údajů.
• Provozovatelé webů, hlavně na WordPressu – Gootloader zneužíval napadené weby k šíření. Europol uvádí 681 vyčištěných webů; pokud vám někdo nahlásil, že váš web nabízí podivné „vzory smluv“, berte to vážně.
• Firmy – ukradené přihlašovací údaje zaměstnanců se běžně používají k průniku do firemních systémů.

Jak poznat napadení

Europol k tomuto zásahu technické indikátory (hashe, domény) nezveřejnil. Co můžete udělat:

• Zadejte svůj e-mail na Have I Been Pwned – Europol uvádí, že data obětí služba dostala. K 12. 11. večer tam data z operace ještě nebyla, zkuste to znovu za pár dní, nebo si zapněte upozornění.
• Správci sítí: data dostala podle Europolu i nadace Shadowserver, která správcům sítí posílá bezplatné reporty – pokud je neodebíráte, zaregistrujte se.
• Na WordPressu hledejte neznámé administrátory, nové stránky a soubory, které jste nevytvořili, a neznámé pluginy. Podezřelé soubory porovnáte se zálohou podle otisku v naší hash kalkulačce.

Co udělat

1. Pokud vás Have I Been Pwned nebo jiná služba upozorní, počítač ber jako napadený: prověřte ho antivirem, ideálně přeinstalujte. Hesla měňte z jiného, čistého zařízení – nejdřív e-mail, banku a správce hesel.
2. Odhlaste všechny relace a zapněte dvoufázové ověření. StealC podle Europolu krade i digitální identity – typicky přihlášené relace –, takže samotná změna hesla nemusí útočníka odstřihnout. Postup krok za krokem je v návodu Někdo mi ukradl účet a v článku Unikl mi e-mail nebo heslo.
3. Správci WordPressu: Europol vyzývá ke změně přihlašovacích údajů, zapnutí vícefázového ověření a záplatování. Aktualizujte jádro, pluginy i šablony a odstraňte nepoužívané.
4. Nestahujte „vzory smluv“ z neznámých webů. Smlouvy a formuláře berte z ověřených zdrojů (úřady, advokátní komora, váš právník). Neznámý odkaz si můžete předem prověřit v naší Kontrole odkazu.

Časová osa

Aktualizace

• 13. 11. 2026 – doplněno oznámení amerického ministerstva spravedlnosti (12. 11.): Gootloader odstraněn z více než 100 serverů, od roku 2018 nejméně 25 000 nakažených počítačů, prodej přístupu ransomwarovým skupinám – v USA nejméně 44 obětí a škoda zhruba 28,8 milionu dolarů. Obvinění ani zatčení DOJ neoznámilo.
• 12. 11. 2026 – první verze článku.