רשויות אכיפת חוק באירופה ובצפון אמריקה השביתו השבוע את התשתית של שלוש נוזקות מוכרות: Gootloader, CastleRAT ו־StealC. לפי המשטרה הפדרלית הגרמנית (BKA), הפעולה נערכה בין 9 ל־11 בנובמבר 2026 במסגרת מבצע Endgame, בתיאום Europol ו־Eurojust ובסיוע חברות אבטחת מידע פרטיות.
מה הושבת
לפי BKA, הפעולה כוונה ליותר מ־230 שרתים ברחבי העולם, מהם יותר מ־40 בגרמניה. יותר מ־250 דומיינים של תשתית השליטה והבקרה הושבתו, ויותר מ־680 אתרים פרוצים נוקו. Europol מסרה נתונים מדויקים יותר: 235 שרתים ו־257 דומיינים. לפי BleepingComputer השתתפו בפעולה רשויות מתשע מדינות, בהן גרמניה, הולנד, בריטניה, ארצות הברית וקנדה.
בשרתים נמצאו כ־6.4 מיליון פרטי התחברות גנובים של יותר מ־40 אלף קורבנות. לפי Europol, החשודים מכרו את פרטי הגישה לשימוש בתקיפות נוספות, ובהן מתקפות כופרה. לפי The Record, הפעולה לא כללה מעצרים, תפיסת מטבעות קריפטוגרפיים או כתבי אישום.
שלוש הנוזקות
- Gootloader – נוזקה מסוג "דרופר" שפעילה מאז 2020 ומשמשת להחדרת נוזקות נוספות, כולל תוכנות כופרה. לפי BKA היא הדביקה מיליוני מחשבים בעולם, בעיקר בשיטת הרעלת תוצאות חיפוש (SEO poisoning): אתרים זדוניים שקודמו לראש תוצאות מנועי החיפוש, כך שמשתמשים סמכו עליהם ולחצו.
- CastleRAT – סוס טרויאני לשליטה מרחוק שמוכר מאז 2025. הוא מאפשר לתוקפים להפעיל מחשב נגוע מרחוק ובנוי כך שיהיה קשה לזהות אותו. לפי BKA, נעשה בו שימוש בתקיפות שבהן הוצפנו מערכות וארגונים נדרשו לשלם כופר.
- StealC – נוזקה לגניבת סיסמאות, ארנקי קריפטו ומידע רגיש. היא כבר הייתה יעד של מבצע Endgame ביוני 2026. לפי The Record, המפעילים בנו את התשתית מחדש, והחוקרים בגרמניה איתרו אותה אצל ספקית האחסון Virtualine, שה־FBI תפס באוקטובר.
איך לבדוק אם הפרטים שלכם נגנבו
הנתונים שנמצאו מועברים לשירותי בדיקה ציבוריים, בהם Have I Been Pwned ו־Check your hack של משטרת הולנד. כך כדאי לפעול:
- בדקו את כתובת הדוא"ל שלכם באתר Have I Been Pwned.
- אם היא מופיעה – החליפו סיסמאות, קודם כל לדוא"ל, לבנק ולרשתות החברתיות. אל תשתמשו באותה סיסמה בכמה אתרים; מנהל סיסמאות יעזור בזה.
- הפעילו אימות דו־שלבי, ועדיף באמצעות אפליקציית אימות, Passkey או מפתח אבטחה ולא באמצעות SMS.
- נוזקות לגניבת מידע אוספות גם עוגיות התחברות, שמאפשרות להיכנס לחשבון בלי סיסמה. התנתקו מכל המכשירים בחשבונות החשובים וסרקו את המחשב בתוכנת אבטחה מעודכנת.
- Europol ממליצה גם לבעלי אתרי WordPress להחליף את פרטי הגישה, להפעיל אימות דו־שלבי ולהתקין עדכוני אבטחה.
הרקע
מבצע Endgame הוא מאמץ בינלאומי מתמשך נגד "פשיעת סייבר כשירות" – הנוזקות והתשתיות שארגוני פשיעה משכירים זה לזה. ביוני 2026 הושבתו במסגרתו, לפי BleepingComputer, 326 שרתים ו־142 דומיינים של Amadey ו־StealC, ונמצאו כ־27 מיליון פרטי התחברות. ראש מחלקת הסייבר ב־BKA, קרסטן מייוירת', אמר ל־The Record שמי שבונה מחדש תשתית אחרי פעולה משטרתית משאיר עקבות חדשים, והחוקרים ימשיכו לעקוב אחריהם.
מקורות
- Bundeskriminalamt (BKA) – הודעה לעיתונות על מבצע Endgame (12.11.2026, בגרמנית)
- Europol – 6.4 million victim datasets secured in international operation against malware networks
- BleepingComputer – Police dismantle Gootloader, CastleRAT, StealC malware infrastructure (12.11.2026)
- The Record – European authorities take down StealC malware servers for second time this year (12.11.2026)
הערת המערכת: תמונת השער נוצרה באמצעות בינה מלאכותית לצורכי המחשה בלבד ואינה תיעוד מצולם של האירוע.
