欧洲刑警捣毁Gootloader等三类恶意软件基础设施 关停235台服务器257个域名

欧洲刑警组织（Europol）近日协调欧盟成员国及美国、加拿大、澳大利亚等十余国执法与网络安全机构，开展专项打击行动，成功摧毁Gootloader、CastleRAT与StealC三类长期活跃的恶意软件基础设施。行动共关停235台服务器与257个关联域名，有效切断其分发渠道与命令控制通信能力，并追回约640万条被盗数据。

Gootloader为高度模块化恶意加载器，常伪装成软件更新页面诱导用户执行JavaScript或PowerShell脚本，进而部署Ryuk等勒索软件；CastleRAT是面向企业环境的远程访问木马，具备屏幕截图、键盘记录、凭证窃取等功能，多用于能源、金融等行业定向渗透；StealC为2022年后快速扩散的信息窃取木马，专精于从浏览器、密码管理器及加密货币钱包批量提取敏感信息，单次攻击可收集超10万条凭证。

此次行动聚焦勒索攻击链的“初始访问”与“横向移动”环节，采用“打地基”策略，精准瘫痪底层支撑体系而非追查终端攻击者。被关停服务器分布于12个国家，多数域名生命周期仅数小时至数天，依赖批量注册、CDN隐藏与动态混淆技术维持运作，体现典型“犯罪即服务”（CaaS）模式特征。

执法部门通过蜜罐流量分析、域名溯源、云服务商日志调取及威胁情报共享，识别出重复使用的SSL证书指纹与ASN归属，锁定关键节点。尽管行动显著削弱三类恶意软件活跃度，安全专家警示其变种可能在2–4周内出现。欧洲刑警呼吁加强跨国常态协作与企业端防护升级，包括强化邮件网关检测、部署EDR系统、实施最小权限原则及启用多因素认证，以应对持续演化的自动化攻击威胁。