Europol předal Have I Been Pwned 180 tisíc e-mailů spojených s malwarem CastleRAT
Policie devíti zemí ve čtvrtek vyřadila servery tří škodlivých programů a našla na nich přes šest milionů ukradených přihlašovacích údajů. Část z nich, 179 745 e-mailových adres a 893 tisíc hesel spojených s malwarem CastleRAT, je od pátku k ověření na Have I Been Pwned. Shoda tam neznamená únik z cizího webu, ale že mohl být napadený vlastní počítač.
Policie z devíti zemí s podporou Europolu a Eurojustu vyřadila infrastrukturu tří škodlivých programů: Gootloaderu, CastleRAT a StealC. Europol to oznámil ve čtvrtek 12. listopadu jako další kolo Operace Endgame, mezinárodního zásahu proti nástrojům, přes které se do počítačů dostává vyděračský software. Policisté a soukromí partneři při něm zabavili nebo vypnuli 235 serverů a 257 domén.
Na zabavených serverech vyšetřovatelé našli přes šest milionů přihlašovacích údajů obětí, titulek zprávy Europolu mluví o 6,4 milionu sad dat. Pachatelé je podle Europolu ukradli z nakažených počítačů a prodávali dál k dalším útokům. Česko mezi zúčastněnými státy není. Zásahu se účastnilo Bulharsko, Dánsko, Kanada, Moldavsko, Německo, Nizozemsko, Polsko, Spojené království a USA.
Každý ze tří programů dělal v útoku něco jiného
Gootloader je takzvaný loader, tedy program, který na počítač teprve nahraje další škodlivý software. CastleRAT je trojský kůň pro vzdálené ovládání. StealC krade hesla a uložené přístupy.
| Program | Co dělá | Zásah podle Europolu |
|---|---|---|
| Gootloader | šíří se jako falešné právní dokumenty na napadených webech, často na WordPressu | 14 serverů a 218 domén, 681 vyčištěných webů |
| CastleRAT | dovolí útočníkovi ovládat počítač na dálku, známý je od roku 2025 | 120 serverů a 39 domén |
| StealC | krade hesla, přístupové údaje a digitální identity, umí na počítač dostat další malware | 102 serverů |
U StealC navazuje policie na červnový zásah. Tehdy podle BleepingComputer Operace Endgame vypnula 326 serverů a 142 domén programů Amadey a StealC a získala kolem 27 milionů přihlašovacích údajů z víc než 385 tisíc napadených systémů.
Ke Gootloaderu vydalo vlastní zprávu americké ministerstvo spravedlnosti. Program podle něj od roku 2018 nakazil nejméně 25 000 počítačů po celém světě. Útočníci přes něj pustili vyděračský software nejméně ke 44 obětem v USA a ty přišly zhruba o 28,8 milionu dolarů. Ministerstvo píše o malwaru odstraněném z víc než sta serverů včetně napadených webů na WordPressu, Europol u téhož programu počítá zvlášť 14 vypnutých serverů a 681 vyčištěných webů. Na vyšetřování Gootloaderu se podle ministerstva podílela i francouzská a australská policie, které v seznamu Europolu nejsou.
Have I Been Pwned dostal adresy i hesla z nakažených počítačů
Data obětí CastleRAT mají podle Europolu dostat služby, které lidi na únik upozorní: Have I Been Pwned, DIVD, nizozemský policejní formulář Check je hack, NoMoreLeaks, Sekoia, nadace Shadowserver a nizozemské národní centrum kybernetické bezpečnosti. U Gootloaderu podle amerického ministerstva pomáhal Shadowserver s poskytovateli internetu a národními týmy CSIRT najít nakažené systémy a upozornit jejich majitele.
Have I Been Pwned data zařadil v pátek ráno jako únik CastleRAT. Je v něm 179 745 e-mailových adres spojených s nákazou a 893 tisíc unikátních hesel. Ta se v datech objevila víc než třimilionkrát u účtů, které lidé používali na nakažených počítačích, a služba je přidala do databáze Pwned Passwords.
Záznam nese příznak „malware“. Podle nápovědy služby je u takového úniku jiné riziko než u běžného: ohrožený může být přímo osobní počítač. Adresa v datech tedy neznamená, že někdo vykradl databázi webu, kde má člověk účet. Znamená, že se objevila v datech z počítače, na kterém CastleRAT běžel.
E-mail se dá vyhledat přímo na titulní straně haveibeenpwned.com. Heslo se dá ověřit na stránce Pwned Passwords, aniž by celé odešlo ze zařízení. Prohlížeč z něj spočítá otisk SHA-1 a službě pošle jen prvních pět znaků, zbytek porovnání proběhne u uživatele.
Hesla se mění až po vyčištění počítače
Pořadí kroků popisuje nizozemská policie na stránce pro lidi, jejichž adresa se objevila v datech z jejích dřívějších zásahů. Nejdřív se odhlásit ze všech otevřených účtů a relací. Pak aktualizovat antivirus a prohledat jím počítač, nebo ho rovnou vrátit do továrního nastavení. Hesla se mají měnit teprve potom. Dřív ne, jinak by nová hesla viděli i útočníci.
Správcům webů na WordPressu radí Europol změnit přístupové údaje, zapnout vícefázové ověřování a doplnit bezpečnostní záplaty. Právě přes napadené weby tohoto redakčního systému se šířil Gootloader.
Zdroje
- Europol: 6.4 million victim datasets secured in international operation against malware networks (12. 11. 2026)
- Ministerstvo spravedlnosti USA: Gootloader Malware Disrupted in International Cyber Operation (12. 11. 2026)
- Have I Been Pwned: CastleRAT Data Breach, FAQs a Pwned Passwords
- BleepingComputer: Police dismantle Gootloader, CastleRAT, StealC malware infrastructure (12. 11. 2026)
- CyberScoop: International operation dismantles malware networks, exposes 6.4 million stolen credentials (12. 11. 2026)
- Politie.nl: Mijn mailadres staat in de data van Checkjehack. Wat moet ik doen?
