Opération Endgame : Gootloader, CastleRAT et StealC démantelés, vos mots de passe sont-ils parmi les 6,4 millions?
Cette semaine, des polices de neuf pays, coordonnées par Europol et Eurojust, ont démantelé l’infrastructure de trois logiciels malveillants très utilisés par les gangs de rançongiciel : Gootloader, CastleRAT et StealC. Bilan annoncé par Europol : 235 serveurs et 257 noms de domaine saisis ou neutralisés, et plus de 6,4 millions d’ensembles de données volées aux victimes retrouvés sur les serveurs des criminels.
Cette nouvelle phase de l’opération Endgame touche aussi le Canada : la GRC et le Service de police d’Ottawa figurent parmi les partenaires de l’enquête Gootloader, selon le département de la Justice américain. Pour une PME, la question pratique est simple : vos mots de passe font-ils partie du lot, et votre site WordPress a-t-il servi d’appât?
Ce que l’opération Endgame a frappé
Comment Gootloader piégeait ses victimes
Gootloader ne passait pas par un courriel suspect. Il misait sur un geste banal : chercher un modèle de document sur Google. Selon la police néerlandaise, les criminels faisaient remonter des sites piratés en tête des résultats de recherche.
🔎
1. La recherche
Une employée cherche un modèle d’entente ou de contrat sur un moteur de recherche.
🌐
2. Le site piraté
Un site WordPress légitime, mais compromis, apparaît parmi les premiers résultats.
📄
3. Le faux document
Elle télécharge le « document juridique » proposé : c’est le logiciel malveillant.
🚪
4. L’accès revendu
L’ordinateur rejoint un réseau d’appareils infectés dont l’accès est vendu.
🔒
5. Le rançongiciel
Un gang achète l’accès, se déplace dans le réseau et chiffre les fichiers.
Le département de la Justice américain relie Gootloader à des attaques par rançongiciel contre au moins 44 victimes aux États-Unis, pour des pertes d’environ 28,8 millions de dollars américains.
Votre site WordPress a peut-être servi d’appât
Les 681 sites nettoyés appartenaient à des organisations qui n’avaient rien demandé. Europol demande d’ailleurs aux utilisateurs de WordPress de changer leurs identifiants, d’activer l’authentification multifacteur et d’appliquer les correctifs. Quatre règles à vérifier avec la personne qui gère votre site :
Quatre règles pour que votre site ne serve pas d’appât
🔑 Un compte nominatif par personne
Pas de compte « admin » partagé; chaque accès est relié à une personne et retiré à son départ.
📲 Authentification multifacteur pour tous les administrateurs
Un mot de passe volé par StealC ne suffit plus à ouvrir le tableau de bord.
🧩 Extensions et thème à jour, le reste supprimé
Une extension désactivée mais toujours installée reste une porte possible.
🕵️ Pages inconnues signalées
Des pages que vous n’avez jamais créées, souvent sur des modèles de documents, sont un signe classique de compromission.
Nous avons déjà expliqué comment des clés UpdraftCentral volées ont servi de porte dérobée WordPress et pourquoi il fallait appliquer vite la mise à jour WordPress CVE-2026-119977.
Vos mots de passe sont-ils dans le lot? Trois situations
Les données des victimes de CastleRAT sont transmises à des services d’alerte comme Have I Been Pwned (HIBP). HIBP a ajouté le 13 novembre 2026 environ 179 700 adresses courriel et 893 000 mots de passe uniques liés à CastleRAT. Ce n’est qu’une partie des 6,4 millions d’ensembles de données : d’autres pourraient s’ajouter dans les prochaines semaines, selon la police néerlandaise.
📧
Une adresse de l’entreprise est signalée
Alerte HIBP ou avis d’un partenaire
✔ Agissez le jour même
- Changez le mot de passe à partir d’un appareil sain
- Changez-le partout où il a été réutilisé
- Activez l’authentification multifacteur
⚠ Ne vous arrêtez pas au mot de passe
- Révoquez les sessions ouvertes dans Microsoft 365
- Vérifiez les règles de transfert de courriel
🔐
Un mot de passe apparaît dans Pwned Passwords
Vérification par votre gestionnaire de mots de passe
✔ Considérez-le comme public
- Remplacez-le sur chaque compte où il sert
- Passez à des phrases de passe uniques générées par le gestionnaire
⚠ Ne tapez jamais un mot de passe dans un site de vérification inconnu
- Utilisez la vérification intégrée de votre gestionnaire
💻
Un appareil est signalé comme infecté
Avis d’un fournisseur d’accès ou d’un organisme
✔ Débranchez-le du réseau
- Faites-le nettoyer ou réinstaller avant toute connexion
- Changez ensuite les mots de passe utilisés sur cet appareil
⚠ Changer les mots de passe sur un appareil encore infecté ne sert à rien
- Vérifiez les autres postes du même réseau
🍪 Pourquoi changer le mot de passe ne suffit pas toujours
Un voleur comme StealC peut aussi prendre des jetons de session : la connexion reste ouverte même après un changement de mot de passe. Révoquez les sessions et vérifiez les appareils inscrits, comme nous l’expliquions dans notre article sur le vol de session Microsoft 365.
Comment NeoTech peut vous aider
Pour nos clients en services TI gérés, nous vérifions les adresses de votre domaine dans les avis de fuite, nous imposons l’authentification multifacteur et un gestionnaire de mots de passe, et nous offrons une surveillance automatisée 24/7 avec intervention du technicien de garde lorsqu’une connexion ou un poste se comporte de façon anormale. Nous pouvons aussi vérifier les comptes et extensions de votre site WordPress.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous vérifions si des adresses de votre domaine apparaissent dans les fuites connues, l’état de l’authentification multifacteur et les accès à votre site WordPress.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Europol — 6.4 million victim datasets secured in international operation against malware networks (en anglais)
- U.S. Department of Justice — Gootloader Malware Disrupted in International Cyber Operation (12 nov. 2026) (en anglais)
- Politie (police néerlandaise) — International action disables cybercriminal network (en anglais)
- Have I Been Pwned — CastleRAT Data Breach (en anglais)
- Help Net Security — Operation Endgame malware takedown turns up over 6 million stolen logins (en anglais)
Photo : Sora Shimazaki, Pexels (licence Pexels).