Sebuah operasi kepolisian internasional berhasil melumpuhkan server pengendali malware Gootloader, CastleRAT, dan StealC pada pekan ini. Penjahat siber memakai ketiga malware tersebut untuk membobol komputer, mencuri kata sandi, dan melancarkan serangan ransomware. Pihak berwenang turut menyita sekitar 6,4 juta kredensial curian milik lebih dari 40.000 korban, menurut Kantor Polisi Kriminal Federal Jerman (BKA).
Gootloader berfungsi sebagai loader: setelah menginfeksi komputer, peretas dapat mengunduh malware lain, termasuk ransomware. Malware ini menyebar lewat dokumen hukum palsu yang diunggah ke situs korban peretasan, terutama situs WordPress. Para pelaku memakai teknik SEO poisoning agar situs jebakan berada di peringkat atas mesin pencari.
Departemen Kehakiman Amerika Serikat mencatat Gootloader telah menginfeksi sedikitnya 25.000 komputer di seluruh dunia sejak 2018. Operator malware memakai komputer yang dikuasai untuk menyebarkan infeksi ke sistem lain, lalu menjual akses tersebut ke pelaku ransomware. Di AS, Gootloader dipakai dalam serangan ransomware ke sedikitnya 44 korban dengan kerugian mencapai 28,8 juta dolar AS. Sementara itu, kepolisian Jerman memperkirakan Gootloader telah menginfeksi jutaan komputer sejak 2020.
Secara keseluruhan, aparat menyita 235 server dan 257 domain internet dalam penindakan ketiga malware tersebut, menurut Europol. Penindakan ini merupakan bagian dari Operasi Endgame, kampanye kepolisian multinasional yang menargetkan penyebaran malware untuk peretasan komputer. Khusus Gootloader, aparat melumpuhkan 14 server, 218 domain, dan membersihkan muatan malware dari 681 situs web.
Atas izin pengadilan, penegak hukum AS bersama mitra internasional menyingkirkan Gootloader dari 100 lebih server, termasuk situs WordPress yang dibobol, serta mengamankan domain di AS yang dipakai mendistribusikan dan mengendalikan malware tersebut. Adapun CastleRAT, sebuah remote access trojan yang terdeteksi sejak 2025, memberi peretas akses kendali komputer jarak jauh. Aparat menyita 120 server dan 39 domain milik jaringan CastleRAT.
StealC merupakan infostealer pencuri kredensial login. Petugas kembali melumpuhkan server StealC pekan ini, menyusul tindakan serupa pada Juni lalu. Setelah penindakan Juni, operator StealC sempat membangun ulang infrastrukturnya, ungkap kepolisian Jerman. Sebagian infrastruktur StealC memakai Virtualine/Omegatech, penyedia hosting kebal hukum (bulletproof hosting) yang mempromosikan jasanya ke penjahat siber. Layanan hosting tersebut telah dibekukan aparat pada akhir Oktober. Belum ada penangkapan yang diumumkan pekan ini, namun Kepolisian Belanda sedang menyidik pelaku utama Gootloader.
Pencegahan bagi Korban dan Pemilik Situs
Kepolisian Belanda memasukkan data curian CastleRAT ke layanan ‘Check your hack’, tempat publik memeriksa alamat email pribadi. Jika email terdaftar di data sitaan, kepolisian mengirimkan notifikasi berisi petunjuk penghapusan malware. Bila tidak ditemukan, tidak ada email balasan. Penambahan data curian terus berlangsung selama beberapa pekan ke depan.
Layanan ini hanya memverifikasi alamat surel individual, namun organisasi dapat bergabung di inisiatif ‘No More Leaks’ untuk menerima informasi kebocoran data. Data curian juga dikoordinasikan ke Have I Been Pwned dan The Shadowserver Foundation. Kepolisian mengingatkan bahwa email mengatasnamakan aparat yang mendesak pengecekan basis data adalah penipuan, karena polisi tidak pernah mengirim email berisi tautan.
Bahkan setelah data disita, peretas kemungkinan masih menyimpan salinan kredensial curian. Selama malware masih bersarang di komputer, pelaku dapat terus mengambil kata sandi baru. The Shadowserver Foundation berkolaborasi dengan penyedia jasa internet dan tim CSIRT untuk mendeteksi komputer terinfeksi dan memberi tahu pemiliknya. Di Jerman, Kantor Federal untuk Keamanan Informasi (BSI) membantu mendistribusikan peringatan bahaya ke korban.
Unit Kejahatan Khusus Nasional Denmark (NSK) turut membersihkan 681 situs web terinfeksi. NSK meyakini peretas membobol portal web memakai kata sandi curian dari pasar gelap daring, lalu menanamkan backdoor. Petugas telah menyingkirkan kode berbahaya, memutus akses ilegal peretas, dan menyematkan pesan petunjuk pengamanan bagi pemilik situs. Otoritas Denmark dan Belanda menganjurkan pemilik situs WordPress segera mempraktikkan langkah proteksi terarah sesuai panduan kepolisian.
