Em 12 de novembro de 2026, a Europol anunciou uma nova fase da "Operation Endgame", ação internacional coordenada por autoridades policiais de vários países contra infraestrutura de cibercrime. Nesta etapa, as autoridades derrubaram 235 servidores e 257 domínios usados por três famílias de malware: o Gootloader (14 servidores e 218 domínios, além da limpeza de 681 sites comprometidos usados como isca), o CastleRAT (120 servidores e 39 domínios) e o StealC (102 servidores, em continuidade a uma ação anterior de junho de 2026 contra a mesma família). No total, mais de 6,4 milhões de conjuntos de dados de vítimas foram identificados na infraestrutura apreendida, com apoio de empresas privadas de segurança.
Segundo a Europol, os três malwares funcionavam como peças de um mesmo modelo de "cibercrime como serviço": o Gootloader usa documentos falsos hospedados em sites legítimos comprometidos para conseguir o primeiro acesso ao computador da vítima; o StealC rouba senhas, cookies e outras credenciais salvas no navegador, depois vendidas no mercado criminoso; e o CastleRAT dá controle remoto total do equipamento infectado, sendo usado por diferentes grupos para instalar ransomware, criptografar arquivos e exigir resgate. Juntas, essas ferramentas compõem boa parte do "acesso inicial" que grupos de ransomware compram ou alugam de outros criminosos para chegar até as vítimas finais.
Por que isso importa para uma PME brasileira
A maioria dos ataques de ransomware que afetam pequenas e médias empresas não começa com um hacker invadindo o sistema na hora — começa muito antes, com uma infecção por um malware mais simples como estes, geralmente por um funcionário que abre um anexo, baixa um "crack" de programa ou clica em um resultado de busca malicioso. Esse primeiro acesso é depois vendido no submundo do cibercrime para quem vai, de fato, instalar o ransomware. Ou seja: toda vez que a sua empresa evita uma infecção por um "simples" ladrão de senhas ou um RAT (trojan de acesso remoto), ela também está reduzindo a chance de ser a próxima vítima de um ataque de ransomware mais grave — mesmo que o malware inicial pareça, isoladamente, um problema pequeno.
O que fazer agora
Trate qualquer alerta de antivírus sobre "trojan", "stealer" ou "RAT" detectado e removido como um incidente de segurança a ser investigado, não como um evento rotineiro — nesses casos, troque as senhas de todas as contas que foram acessadas naquele computador (e-mail corporativo, bancos, sistemas internos) e verifique se há acessos ou regras suspeitas que você não reconhece. Mantenha os navegadores e o sistema operacional sempre atualizados, já que o Gootloader explora resultados de busca e sites comprometidos para parecer legítimo, e oriente a equipe a nunca baixar programas "crackeados", geradores de chave ou atualizações de navegador oferecidas fora dos canais oficiais.
Como medida de fundo, mantenha backups desconectados da rede (regra 3-2-1) e separe o acesso administrativo dos computadores do dia a dia: se um RAT como o CastleRAT conseguir se instalar em uma máquina sem privilégios de administrador, o estrago tende a ser muito menor do que se ele conseguir controle total da rede da empresa.
Fonte oficial: Europol, "Latest Operation ENDGAME cyber strike takes down Gootloader, CastleRAT and StealC malware networks", 12 de novembro de 2026 — europol.europa.eu.
