“终局行动”打击 Gootloader、CastleRAT 和 StealC 的基础设施
“终局行动”宣布对 235 台服务器和 257 个域名采取措施，并在犯罪基础设施中发现约 640 万份受害者数据。CastleRAT 受害者可通过 Have I Been Pwned 查询邮箱是否暴露。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 遭入侵网站的运营者，以及设备运行过 Gootloader、CastleRAT 或 StealC 的个人与组织。
- Gootloader · CastleRAT · StealC · malware
- 在野利用
- 已发现
- 执法机构确认了恶意软件感染及相关勒索软件案件。
发生了什么
Gootloader 利用包括 WordPress 在内的遭入侵网站，诱使访客下载伪装成法律文件的内容。犯罪团伙出售受感染设备的访问权限，买家可借此部署勒索软件。CastleRAT 让操作者远程控制感染设备。StealC 窃取密码及其他已保存的账户数据。11 月的行动延续了 6 月开始的另一轮 StealC 打击工作。
约 640 万是本轮行动查获的受害者数据集数量。Have I Been Pwned 的索引记录了 179,745 个与 CastleRAT 相关的账户，另有约 89.3 万个不同的密码进入独立的 Pwned Passwords 查询库。美国司法部另行估算，Gootloader 自 2018 年以来在全球感染至少 2.5 万台电脑，并被用于针对至少 44 名美国受害者的勒索软件攻击，造成约 2880 万美元损失。这些数字的统计对象和时间范围各异。即使相关犯罪基础设施已遭打击，仍需调查并修复受影响系统。
案发时间线
2026年11月12日
“终局行动”公布新一轮基础设施打击结果
行动针对 Gootloader 分发渠道、CastleRAT 基础设施和 StealC 服务器。合作机构协助通知受害者和修复受影响系统。
2026年11月12日
美国司法部公布针对 Gootloader 的行动
司法部报告已从逾 100 台服务器移除恶意软件，并查封了用于分发或控制该软件的美国域名。
11月13日 05:41 UTC
Have I Been Pwned 收录 CastleRAT 数据
可查询与感染相关的邮箱，另有约 89.3 万个不同的密码可在 Pwned Passwords 查询。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- “终局行动”公告一手来源说明 11 月行动范围、缴获的数据、受害者通知渠道和 WordPress 处置指引。
- 美国司法部 Gootloader 行动公告一手来源说明美国针对 Gootloader 采取的措施，并估算其历史影响。
- Have I Been Pwned 泄露事件索引一手来源列出 179,745 个 CastleRAT 相关账户，并注明受影响数据包括邮箱地址和密码。