Operasyon Endgame’de yeni dalga: 9 ülke 235 sunucu ve 257 alan adını ele geçirdi, 6,4 milyon çalınmış hesap verisi güvence altında

Avrupa’da koordine siber suç operasyonlarının en kalıcısı olan Operation Endgame bu hafta yeni bir tur daha etti: dokuz ülkeden kolluk kuvvetleri, Europol ve Eurojust koordinasyonunda üç kötücül yazılım ailesinin — Gootloader, CastleRAT ve StealC — dağıtım altyapısına eş zamanlı vurdu. Toplam 235 sunucu ve 257 alan adı ele geçirildi ya da devre dışı bırakıldı; operasyona katılan özel sektör ortakları altyapının tespit ve bloklanmasında görev aldı. Operasyon, AB’nin organize suçla mücadele programı EMPACT çerçevesinde yürütülüyor.

Üç hedefin profili, ‘siber suç-hizmet’ ekonomisinin katmanlarını özetliyor. Gootloader, 2020’den beri aktif bir ‘dropper’: saldırganlar ele geçirilmiş — çoğu WordPress — sitelere sahte hukuki belgeler yerleştiriyor, ziyaretçiyi indirmeye ikna ediyor ve makineyi sonraki saldırılara açıyordu; bu dalga da 14 sunucu ve 218 alan adı dışında 681 enfekte site temizlendi. CastleRAT, 2025’ten beri bilinen, tespiti zorlaştırılmış mimarili bir uzaktan erişim truva atı: bulaştığı kuruluşlarda veri şifreleme, sistemleri felç etme ve fidye ödemesiyle sonuçlanan olaylara yol açtığı bildiriliyor; 120 sunucu ve 39 alan adı ele geçirildi. StealC ise parola, kayıtlı erişim verisi ve dijital kimlik çalmaya odaklanan bir ‘stealer’ — 102 sunucusu söküldü ve Haziran 2026’daki önceki dalganın devamı niteliğinde.

Operasyonun en somut çıktısı kurban tarafında: ele geçirilen altyapıda 6,4 milyon kurban veri kümesi — çalınmış hesap bilgileri — tespit edildi ve güvence altına alındı. Europol’e göre şüpheliler bu verileri enfekte ettikleri kurbanlardan çalıp satıyor, alıcılar da fidye yazılımı dâhil sonraki saldırılarda kullanıyordu. CastleRAT’a bağlı kurban verileri Have I Been Pwned gibi ihbar hizmetlerine aktarılıyor; yani etkilenen kullanıcılar yakın zamanda ihbar e-postası alabilir.

Endgame bir yıldır bu ekosistemde altyapıları teker teker indiriyor: geçen yıl aynı ortaklık Rhadamanthys, VenomRAT ve Elysium botnetlerine ait 1.000’den fazla sunucuyu indirmişti; Haziran 2026’da ise 15 bine yakın enfekte WordPress sitesi temizlenip SocGholish botnetine ve Evil Corp’a bağlı 106 sunucu ele geçirilmiş, ayrıca Amadey ve StealC altyapısından 326 sunucu sökülmüştü. Europol’in kullanıcı çağrısı basit ama önemli: WordPress site sahipleri kimlik bilgilerini değiştirmeli, çok faktörlü doğrulamayı açmalı ve açıkları yamamalı. Operasyonun sınırı da bilinmeli: altyapıyı indirmek dağıtımı kesiyor ama operatörlerin tutuklanması ve yeniden kurulum çabası ayrı bir faz — Europol açıklamasında gözaltı sayısı belirtmedi.