Operation Endgame Lumpuhkan Gootloader, CastleRAT, dan StealC: 6,4 Juta Login Dicuri Disita

Operasi kepolisian internasional Operation Endgame berhasil melumpuhkan server Gootloader, CastleRAT, dan StealC. Sebanyak 235 server, 257 domain, dan sekitar 6,4 juta login curian milik lebih dari 40.000 korban disita.

Pengumuman itu disampaikan oleh Kantor Kriminal Federal Jerman (BKA) dan didukung Europol. Ketiga alat malware tersebut digunakan pelaku kejahatan siber untuk membobol komputer, mencuri kata sandi, dan melancarkan serangan ransomware.

Kronologi Operasi dan Penyitaan Server

Operasi berlangsung pekan ini. Polisi menyita 235 server dan 257 domain yang terkait dengan ketiga malware tersebut. Rinciannya: Gootloader 14 server dan 218 domain, CastleRAT 120 server dan 39 domain, sedangkan StealC menyumbang sisanya.

Untuk Gootloader, polisi juga membersihkan malware dari 681 situs web yang telah diretas. Situs-situs itu umumnya berbasis WordPress yang disusupi kode berbahaya.

Departemen Kehakiman Amerika Serikat (DOJ) menyatakan pihaknya bersama mitra internasional menghapus Gootloader dari lebih dari 100 server, termasuk situs WordPress yang diretas. Mereka juga menyita domain AS yang digunakan untuk mendistribusikan dan mengendalikan malware.

Operasi ini merupakan bagian dari kampanye Operation Endgame, sebuah inisiatif penegakan hukum lintas negara yang menyasar malware yang dipakai untuk mengakses komputer korban. Europol memberikan dukungan dalam aksi tersebut.

Meski demikian, tidak ada penangkapan yang diumumkan dalam operasi kali ini. Polisi Belanda disebut tengah melakukan investigasi lanjutan terhadap tersangka utama Gootloader.

Pihak yang Terlibat dan Pernyataan Resmi

BKA Jerman mengungkapkan bahwa pihaknya menyita sekitar 6,4 juta login curian milik lebih dari 40.000 korban. Angka itu berasal dari data yang berhasil diambil kembali oleh penyidik.

“Berdasarkan apa yang diketahui penyidik sejauh ini, Gootloader telah menginfeksi jutaan komputer di seluruh dunia sejak pertama kali muncul pada 2020,” demikian pernyataan BKA dalam siaran pers berbahasa Jerman.

Sementara itu, DOJ mencatat Gootloader telah menginfeksi setidaknya 25.000 komputer di seluruh dunia sejak 2018. Di Amerika Serikat, malware ini digunakan dalam serangan ransomware terhadap sedikitnya 44 korban dengan total kerugian sekitar 28,8 juta dolar AS.

Unit Kejahatan Khusus Nasional Denmark (NSK) membantu membersihkan 681 situs web yang terinfeksi. Dalam pernyataan berbahasa Denmark, NSK meyakini penyerang masuk ke situs-situs tersebut menggunakan kata sandi curian yang diperoleh melalui saluran kriminal. Mereka kemudian memasang backdoor.

“Petugas menghapus kode dan akses penyerang, lalu meninggalkan pesan bagi pemilik situs berisi saran untuk mengamankan situs mereka,” tulis NSK.

Polisi Belanda juga mengarahkan korban ke layanan Check your hack. Layanan ini memungkinkan seseorang memasukkan alamat email untuk memeriksa apakah data mereka termasuk dalam kebocoran. Jika terdaftar, polisi mengirim email dalam beberapa menit berisi langkah-langkah penghapusan malware.

Latar Belakang: Gootloader, CastleRAT, dan StealC

Gootloader adalah sebuah loader. Begitu masuk ke komputer, ia dapat mengunduh malware lain, terutama ransomware. Penyebarannya melalui dokumen hukum palsu yang ditempatkan di situs web yang diretas, sering kali situs WordPress. Pelaku menggunakan teknik SEO poisoning untuk mendorong situs-situs tersebut ke peringkat atas hasil pencarian.

Menurut DOJ, operator Gootloader menggunakan komputer yang terinfeksi untuk menyebarkan infeksi ke lebih banyak mesin, lalu menjual akses ke komputer baru tersebut kepada pelaku ransomware.

CastleRAT adalah remote access trojan (RAT) yang dikenal sejak 2025. Malware ini memungkinkan penyerang mengendalikan komputer yang terinfeksi dari jarak jauh. Polisi menyita 120 server dan 39 domain milik CastleRAT.

StealC merupakan infostealer yang mengeksfiltrasi kata sandi dan kredensial login lainnya dari komputer korban. Data itu kemudian dijual atau disalahgunakan oleh pelaku. Polisi kembali membongkar server StealC pekan ini setelah operasi serupa pada Juni lalu.

Setelah aksi Juni, operator StealC mengubah infrastruktur dan mengaktifkannya kembali untuk menghindari penyidik. Sebagian infrastruktur kunci StealC berjalan di Virtualine/Omegatech, layanan bulletproof hosting yang menawarkan jasanya kepada pelaku kriminal. Layanan hosting tersebut ditutup dalam penggerebekan pada akhir Oktober.

Dampak bagi Korban dan Pemilik Situs

Data curian yang disita kini dibagikan kepada layanan seperti Have I Been Pwned dan Shadowserver Foundation. Yayasan Shadowserver bekerja sama dengan penyedia layanan internet dan tim respons insiden keamanan komputer (CSIRT) untuk menemukan komputer terinfeksi dan memberi tahu pemiliknya.

Di Jerman, Badan Keamanan Siber Federal (BSI) membantu proses notifikasi korban. Sementara itu, polisi Belanda telah memasukkan data yang dicuri CastleRAT ke layanan Check your hack. Data tambahan akan ditambahkan dalam beberapa pekan mendatang.

Layanan tersebut memeriksa alamat email tunggal, bukan seluruh domain. Namun organisasi dapat bergabung dengan No More Leaks, proyek kepolisian yang berbagi data dengan mitra swasta.

Polisi mengingatkan bahwa email yang mengaku berasal dari polisi dan meminta orang memeriksa data adalah palsu. “Polisi tidak pernah mengirim email berisi tautan,” tegas mereka dalam FAQ.

Meski polisi telah menyita data, pelaku mungkin masih memegang login curian. Selama malware masih tertanam di komputer, pelaku juga dapat terus memperoleh kata sandi.

Langkah Selanjutnya dan Imbauan Keamanan

Polisi Denmark dan Belanda mengimbau pemilik situs WordPress untuk mengambil langkah-langkah pengamanan. Beberapa langkah tersebut tertuang dalam lembar saran berbahasa Belanda.

• Ganti semua kata sandi administrator dengan kata sandi unik minimal 12 karakter.
• Aktifkan autentikasi multifaktor (MFA).
• Hapus akun yang tidak dikenali.
• Bersihkan kode backdoor dari situs.
• Perbarui WordPress, tema, dan plugin.
• Batasi akses ke halaman login /wp-admin hanya dari alamat IP perangkat sendiri.

Investigasi terhadap tersangka utama Gootloader masih berlanjut di Belanda. Sementara itu, Europol dan mitra internasional akan terus memantau infrastruktur malware yang tersisa.

Bagi korban, langkah paling mendesak adalah memeriksa apakah alamat email mereka masuk dalam data yang bocor melalui layanan resmi kepolisian. Jika ya, segera ikuti petunjuk penghapusan malware dan ganti kata sandi yang terdampak.

Analisis Redaksi

Operation Endgame menunjukkan bahwa penegakan hukum siber kini bergerak ke arah yang lebih terkoordinasi. Alih-alih mengejar aktor di balik layar, polisi menyasar infrastruktur—server, domain, dan layanan hosting. Pendekatan ini efektif untuk sementara waktu, tetapi tidak menyentuh akar masalah: pasar kredensial curian yang terus berkembang.

Angka 6,4 juta login curian dari 40.000 korban adalah bukti betapa masifnya skala pencurian kredensial. Namun, penyitaan data tidak serta-merta membuat korban aman. Selama malware masih bersemayam di komputer, pelaku dapat terus memanen kata sandi baru. Di sinilah edukasi publik menjadi krusial.

Ironisnya, Gootloader menyebar melalui situs WordPress yang diretas dan teknik SEO poisoning. Artinya, korban sering kali tidak perlu mengunduh file mencurigakan—cukup mencari dokumen hukum di mesin pencari. Pemilik situs WordPress pun dituntut lebih disiplin dalam menjaga keamanan. Imbauan polisi untuk mengganti kata sandi, mengaktifkan MFA, dan memperbarui plugin bukanlah formalitas, melainkan benteng pertama.

Ke depan, keberhasilan operasi semacam ini perlu diukur dari seberapa cepat korban mendapat notifikasi dan seberapa besar penurunan infeksi. Tanpa itu, penggerebekan hanya menjadi siklus: lumpuhkan, bangun ulang, lumpuhkan lagi.

Sumber: thehackernews.com, europol.europa.eu