歐盟刑警組織與美國司法部於十一月十二日公布，作為打擊勒索軟件中介的跨國「行動 Endgame」最新一輪，執法部門已瓦解 Gootloader、CastleRAT 與 StealC 三套惡意軟件的犯罪基建。官方指協調行動共檢獲二百三十五部伺服器及二百五十七個域名，並在本週查獲的犯罪基建中識別約六百四十萬組受害人資料集／憑證；歐盟刑警組織稱會經公開查詢平台通知受害人，並呼籲 WordPress 用戶更新憑證、啟用多重要素驗證及修補漏洞。來源真實性已驗證。

歐盟刑警組織／美國司法部／官方：行動 Endgame 瓦解 Gootloader、CastleRAT 與 StealC 基建——檢獲二百三十五部伺服器及二百五十七個域名，並識別約六百四十萬組受害人憑證

歐盟刑警組織於十一月十二日發布新聞稿，宣布與全球夥伴瓦解 Gootloader、CastleRAT 及 StealC 的犯罪基建，屬跨國「行動 Endgame」（Operation Endgame）最新一輪打擊。官方寫道，執法部門聯同私人機構在協調行動中檢獲二百三十五部伺服器及二百五十七個域名，嚴重削弱上述惡意軟件的分發網絡；同一行動在本週查獲的犯罪基建中，識別約六百四十萬組受害人資料集，內文並以「逾六百萬組憑證」表述。美國司法部同日公布，已從逾一百部電腦伺服器（包括遭入侵的 WordPress 網站）清除 Gootloader，並檢獲用於投放與控制該惡意軟件的美國域名。以下內容核對自歐盟刑警組織新聞稿及美國司法部公告，來源真實性已驗證。

一、核心事件：針對勒索軟件中介的最新一輪跨國清剿

歐盟刑警組織指，今次行動針對「網絡犯罪即服務」模式，因為這些工具會進一步促成勒索軟件攻擊與資料竊取。參與的執法與私人夥伴分別處理三套惡意工具包：

Gootloader 被列為投放／載入程式。官方指其透過遭入侵網站分發偽造法律文件，受害人下載後受感染，途徑往往是被入侵的 WordPress 網站，並可進一步安裝勒索軟件。歐盟刑警組織寫道，此部分已拆除十四部伺服器及二百一十八個域名，並修復六百八十一個受感染網站。

CastleRAT 被列為遠端存取木馬，自二零二五年起為人所知。官方指其架構較新、部署靈活，並採用難以偵測的機制；使用該木馬導致大量資料被加密、整套資訊系統癱瘓，受影響公司與機構被迫支付贖金。官方公布檢獲一百二十部伺服器及三十九個域名，並已分享受害人資料作警示。

StealC 被列為具投放功能的憑證竊取程式，可經多種攻擊向量傳播，主要用於從受感染電腦擷取密碼、已儲存的存取資料與數碼身分，供後續非法交易及欺詐使用。官方指已拆除一百零二部伺服器，並延續二零二六年六月的相關工作。

歐盟刑警組織公布的總數為二百三十五部伺服器及二百五十七個域名。分項數字加總與總數接近但不完全相同，本文分別按官方總數與分項原文陳述，不作推算合併。

技術細節

美國司法部公告補充 Gootloader 的規模與損害：該惡意軟件自二零一八年起，已在全球感染至少二萬五千部電腦；至少四十四名美國受害人遭其用於勒索軟件攻擊，損失約二千八百八十萬美元。司法部引述國防部監察長辦公室國防刑事調查處網絡外勤處特別探員主管指，Gootloader 的打擊對象遍及全球，包括美國戰爭部及國防工業基礎。聯邦調查局網絡分部行動主任則指，行為者先以該殭屍網絡感染更多電腦，再把後期受感染系統的存取權售予勒索軟件行為者。

司法部寫道，除執法檢獲外，Shadowserver Foundation 亦協助與互聯網服務供應商及電腦安全事故應變小組識別受感染系統、通知受害人並協助修復；瀏覽被檢獲域名的訪客會看到檢獲橫額。司法部並指，這些行動與行動 Endgame 協調進行。

二、技術原理深度解析

三套工具在犯罪分工上形成一條常見的「初始存取—遠端控制—憑證變現」鏈。Gootloader 作為投放程式，先以偽造法律文件等看似正當的下載誘使受害人執行，並常依托被入侵的 WordPress 網站擴大接觸面；一旦電腦加入殭屍網絡，存取權便可被轉售，供勒索軟件行為者作後續入侵。CastleRAT 則把已失陷主機變成可遠端操控的據點，用以加密資料、癱瘓系統並勒索贖金。StealC 專注於把密碼、工作階段與數碼身分搬離裝置，供地下市場轉售，或用於後續帳戶接管與欺詐。

歐盟刑警組織強調，本週在犯罪基建中識別的逾六百萬組憑證，正是行為者在感染受害人後竊取、再出售並用於包括勒索軟件在內的後續攻擊。這解釋了為何清剿不只是關閉伺服器：即使惡意軟件分發節點被拆，已流出的憑證仍可在其他渠道被重複使用。因此官方把受害人資料交由 Have I Been Pwned、DIVD、CheckjeHack、NoMoreLeaks、Sekoia、Shadowserver Foundation 及荷蘭國家網絡安全中心等平台發布警示，並特別點出 CastleRAT 造成的憑證失竊，同時呼籲 WordPress 用戶更新憑證、啟用多重要素驗證及修補漏洞。

對企業防守而言，原理上的教訓是：面向公眾的內容管理系統一旦失守，可同時成為惡意軟件的分發點與內部網絡的入口；而憑證竊取程式把一次終端感染，轉化成可在電郵、雲端控制台與遠端桌面反覆使用的長期風險。單靠封鎖已知域名並不足夠，還須假設相關憑證可能已被轉售。

四、日常應用場景

1. 開發者與技術團隊

負責網站與基礎設施的團隊，應先清點對外的 WordPress 與其他內容管理系統，確認已套用供應商安全更新，並檢查是否出現異常外掛、不明管理員帳戶或被植入的下載頁。若伺服器曾被用作分發點，除修復網站外，還應輪換主機與部署憑證、檢查定時任務與網頁外殼。開發內部工具時，應避免在終端或共用工作站以高權限瀏覽器工作階段處理管理後台。

2. 企業與隱私敏感行業

金融、專業服務、貿易及任何以電郵與雲端控制台營運的機構，應把今次行動視為憑證外洩與勒索軟件的連動風險，而非單純的惡意軟件新聞。歐盟刑警組織指受害人資料將經公開查詢平台警示，資訊安全與合規團隊可安排員工及服務帳戶檢查是否出現在通知名單，並優先為電郵、虛擬私人網絡、雲端管理及遠端桌面啟用多重要素驗證、撤銷舊工作階段。美國司法部列明 Gootloader 已造成美國受害人以千萬美元計的勒索損失，亦曾波及政府與國防供應鏈，顯示即使不是第一目標，只要終端或網站暴露，仍可能被納入轉售的初始存取市場。

3. 一般用戶

一般用戶若曾在搜尋結果中下載來路不明的「法律文件」或類似附件，應先以作業系統及防毒軟體檢查裝置，並盡快更改電郵、社交平台、網上銀行及加密貨幣錢包等重要帳戶密碼，開啟多重要素驗證。亦可在官方提到的公開資料外洩查詢平台核對電郵是否已出現在今次警示。不要打開來歷不明的檢獲域名或聲稱「官方修復工具」的陌生連結，應以歐盟刑警組織及美國司法部原公告為準。

4. 香港與亞洲市場視角

香港企業廣泛使用 WordPress 作為對外網站，員工亦常以同一組電郵密碼登入多個雲端服務。今次行動雖由歐洲與北美執法主導，但惡意軟件分發與憑證轉售本屬跨境市場，本地中小企同樣可能成為被入侵網站或被轉售存取權的一環。機構應檢查公眾網站是否仍運行過期外掛、管理後台是否暴露於互聯網，並把多重要素驗證列為電郵與遠端存取的基本要求。若接獲平台通知電郵已外洩，應假設密碼可能已被用於嘗試登入本地銀行、支付及政府電子服務帳戶，盡早完成重設與裝置檢查。

五、專業評價與潛在考量

優勢

今次行動同時針對投放程式、遠端存取木馬與憑證竊取程式，並把伺服器、域名與受害人資料處理一併公布，使防守方可以得到較完整的行動圖景。歐盟刑警組織把今次列為行動 Endgame 的一部分，並稱該行動是歷來最大規模、針對勒索軟件中介的國際合作之一，涉及逾三十個公共與私人夥伴；歐盟司法合作組織亦協助司法機關交換資訊並同步行動。美國司法部則公開受害規模、損失數字及戰爭部、國防工業基礎曾受針對等細節，並說明 Shadowserver 參與通知與修復，有助後續清理。司法部亦列出德國聯邦刑事警察局、荷蘭國家高科技罪案組、加拿大皇家騎警、丹麥警方、法國巴黎網絡罪案組、英國國家犯罪調查局、澳洲聯邦警察及歐盟刑警組織等夥伴，顯示清剿並非單一司法管轄區的孤立行動。

需要留意的地方

分發基建被拆，並不代表相關惡意軟件家族就此消失，行為者仍可能轉移基礎設施或改用新域名。已流出的約六百四十萬組資料集／憑證，即使平台陸續通知，機構仍需自行完成輪換與監控。歐盟刑警組織與美國司法部的表述焦點並不完全相同：前者以三套惡意軟件的總檢獲量與受害人資料集為主，後者聚焦 Gootloader 的清除範圍與美國受害人損失，兩份原文的伺服器數字不應直接加總或視為同一口徑。官方亦未在已核對的公告中交代所有嫌疑人逮捕或起訴細節，清剿效果仍須以後續司法行動及實際感染是否下降來評估。

結語

歐盟刑警組織與美國司法部在十一月十二日公布的這輪行動 Endgame，把 Gootloader、CastleRAT 與 StealC 的伺服器、域名與大批受害人憑證一併拉上水面，說明當代勒索軟件往往依賴可轉售的初始存取與失竊身分，而不是單一漏洞。對香港企業而言，當務之急是檢查對外網站與帳戶防護，並把已外洩憑證視為需要立即失效的風險，而不是等待下一次通知。如需強化雲端遷移、零信任架構與勒索軟件防禦，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）；該頁列明高可用架構以百分之九十九點九九服務可用率為目標。

參考來源

• 歐盟刑警組織新聞稿：6.4 million victim datasets secured in international operation against malware networks（2026-11-12）https://www.europol.europa.eu/media-press/newsroom/news/64-million-victim-datasets-secured-in-international-operation-against-malware-networks
• 美國司法部公告：Gootloader Malware Disrupted In International Cyber Operation（2026-11-12）https://www.justice.gov/opa/pr/gootloader-malware-disrupted-international-cyber-operation
• SecurityWeek 報道（發現來源）https://www.securityweek.com/law-enforcement-disrupts-gootloader-castlerat-and-stealc-infrastructure/
• BleepingComputer 報道（發現來源）https://www.bleepingcomputer.com/news/security/police-dismantles-gootloader-castlerat-stealc-malware-infrastructure/
• YSK Limited 雲端遷移與網絡安全 https://ysk.hk/services/cloud-security