Tijdens een internationale actie heeft de Nederlandse politie servers en domeinnamen van de Gootloader- en CastleRAT-malware offline gehaald. Bij de operatie zijn ook miljoenen gestolen persoonsgegevens aangetroffen en honderden websites opgeschoond. Mensen kunnen via de politiewebsite Checkjehack.nl controleren of ze slachtoffer zijn geworden van de CastleRAT-malware.

De Gootloader-malware wordt onder andere verspreid via gehackte WordPress-sites. Aanvallers plaatsen malafide code op deze gehackte websites. Door middel van 'SEO' (search engine optimization) weten de aanvallers deze gehackte sites hoger in de resultaten van zoekmachines te krijgen. Zodra internetgebruikers op een zoekresultaat klikken dat naar een gehackte site wijst, worden ze bij het bezoeken van de website automatisch doorgestuurd naar een site van de criminelen. Deze site biedt vervolgens een bestand aan dat Gootloader bevat. Eenmaal actief kan Gootloader op het besmette systeem aanvullende malware installeren.

"Gootloader was een van de meest gebruikte en gevaarlijke soorten malware van de afgelopen jaren", aldus de politie. Gootloader was al jaren actief. Bij de operatie tegen de malware zijn in Nederland veertien servers offline gehaald. Tevens zijn 218 domeinnamen in beslag genomen en 681 websites opgeschoond. Hoe de autoriteiten de infectie van de sites hebben verwijderd is niet bekendgemaakt.

CastleRAT-malware
Tijdens de operatie werd ook de CastleRAT-malware aangepakt. Van deze malware werden 120 servers offline gehaald, waarvan zes in Nederland, en 39 domeinen in beslag genomen. Via CastleRAT hadden aanvallers toegang tot de systemen van slachtoffers en konden allerlei inloggegevens en andere data stelen. De gestolen data werd vervolgens verkocht en misbruikt. De malware werd onder andere verspreid via ClickFix-aanvallen.

De politie vond tijdens het onderzoek 6,4 miljoen persoonsgegevens die door CastleRAT waren gestolen. Via de politiewebsite Checkjehack.nl kunnen mensen controleren of ze slachtoffer van de malware zijn geworden. "De komende weken worden hier meer persoonsgegevens aan toegevoegd. Daarnaast wordt de slachtofferdata gedeeld met The Shadowserver Foundation, HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks en NL-NCSC", zo laat de politie verder weten.