Politiet fjerner skadelig Gootloader kode fra 681 WordPress-hjemmesider
National enhed for Særlig Kriminalitet (NSK) har sammen med politimyndigheder i flere lande renset hundredvis af hjemmesider for en bagdør, som kriminelle har brugt til at sprede virus til besøgendes computere. I alt 681 WordPress-hjemmesider er blevet renset siden søndag, og samtidig er 218 domæner og 14 servere i udlandet taget ned. Ejerne af de berørte sider har fået en besked fra NSK med sikkerhedsvejledning, efter at de kriminelles adgang blev lukket. Det skriver politi.dk og ICARE SECURITY A/S.
Indsatsen hører under Operation Endgame, hvor Danmark arbejder sammen med Canada, Belgien, Tyskland, Nederlandene, USA, Frankrig og Storbritannien med støtte fra Eurojust og Europol. På tværs af hele operationen oplyser Europol, at 235 servere og 257 domæner er beslaglagt, og at 6,4 millioner datasæt fra ofre er sikret, fordelt på de tre malwarefamilier Gootloader, CastleRAT og StealC. Man kan se mere her: europol.europa.eu.
Hvad er Gootloader?
Koden hedder Gootloader og er en såkaldt loader, altså et program hvis eneste opgave er at åbne døren for anden og farligere software. Ifølge NSK ligger den på WordPress-hjemmesider, hvorfra den kan hente virus ned på ofrenes computere. Slutmålet er ransomware, hvor filer eller systemer låses, og ofret afkræves penge.
Den danske Politikommissær Mathias Andersen fra High Tech Crime i NSK betegner bagmændene som en facilitator, der sætter andre kriminelle i stand til at gennemføre ransomwareangreb. Gootloader er med andre ord et led i en forsyningskæde: én gruppe skaffer adgangen, en anden gruppe køber den og udfører afpresningen.
Sådan kommer koden ind på en hjemmeside
Det bemærkelsesværdige er, at der ikke er tale om et avanceret teknisk hul i WordPress. NSK vurderer, at adgangen blev skaffet med stjålne adgangskoder købt i kriminelle kanaler, hvorefter der blev lagt en bagdør ind på siderne. En hjemmeside kan derfor være fuldt opdateret og alligevel være kompromitteret, hvis en administrator har genbrugt en kode, der er lækket et andet sted. Bagdøren er skjult, og ejeren ser typisk en helt normal hjemmeside, mens udvalgte besøgende får vist noget andet.
Sådan rammes den besøgende
Sikkerhedsfirmaet Hive Pro har beskrevet angrebskæden i detaljer. Ofrene er typisk personer, der søger på nettet efter forretningsdokumenter og via højt placerede søgeresultater havner på en kompromitteret WordPress-side. Her misbruges WordPress’ kommentarfunktion til at udlevere et krypteret ZIP-arkiv med en sløret JavaScript-fil. Når filen åbnes, afvikles den af Windows’ indbyggede scriptmotor, og en genvej i opstartsmappen sørger for, at koden kører igen ved hver opstart. Derefter installeres en bagdør, og angriberne begynder at kortlægge virksomhedens netværk og oprette konti med høje rettigheder. Tempoet er højt: i ét dokumenteret forløb havde angriberne kontrol over virksomhedens domænecontroller blot 17 timer efter den første infektion. Det skriver hivepro.com.
Hvad bør du gøre som hjemmesideejer?
NSK’s anbefalinger til ejere af WordPress-sider er enkle og kan gennemføres på under en time. Alle administratorkoder skal skiftes til unikke koder på mindst 12 tegn, ukendte brugerkonti skal slettes, multifaktorgodkendelse skal slås til, og WordPress, temaer og plugins skal opdateres. Derudover bør siden løbende overvåges for mistænkelig aktivitet. Har du fået en besked fra NSK på din hjemmeside, er bagdøren fjernet, men de stjålne adgangskoder er stadig i omløb, og det samme login kan være brugt til hosting, FTP og e-mail. Skift derfor også disse koder. For virksomheder, der behandler personoplysninger, bør et bekræftet indbrud på hjemmesiden desuden give anledning til en vurdering af, om der foreligger et brud på persondatasikkerheden, som skal anmeldes til tilsynsmyndigheden inden for 72 timer efter GDPR artikel 33.
Hvad bør du gøre som almindelig bruger?
Politiets råd til borgere er at være varsom med klik og downloads, særligt fra private og mindre hjemmesider, at undlade genbrug af adgangskoder og at slå multifaktorgodkendelse til. Man kan undersøge, om ens adgangskoder er stjålet, på haveibeenpwned.com. I praksis er det vigtigste faresignal en ZIP-fil med en JavaScript-fil (endelsen .js), der udgiver sig for at være en kontraktskabelon, en aftale eller et andet dokument. Et ægte dokument er aldrig en .js-fil.
Infoboks: Gootloader kort fortalt
| Emne | Fakta |
|---|---|
| Navn | Gootloader |
| Type | Loader og bagdør, der henter anden malware |
| Platform | WordPress-hjemmesider |
| Indgang | Stjålne adgangskoder købt i kriminelle kanaler |
| Formål | At muliggøre ransomwareangreb |
| Rensede hjemmesider | 681 |
| Nedtagne domæner | 218 |
| Nedtagne servere | 14, alle i udlandet |
| Operation | Operation Endgame med støtte fra Europol og Eurojust |
| Deltagende lande | Danmark, Canada, Belgien, Tyskland, Nederlandene, USA, Frankrig, Storbritannien |
| Dansk myndighed | National enhed for Særlig Kriminalitet (NSK) |
| Dato for offentliggørelse | 12. november 2026 |
Infoboks: Tjekliste til WordPress-ejere
| Trin | Handling |
|---|---|
| 1 | Skift alle administratorkoder til unikke koder på mindst 12 tegn |
| 2 | Slet brugerkonti, du ikke kender |
| 3 | Slå multifaktorgodkendelse til for alle administratorer |
| 4 | Opdater WordPress, temaer og plugins |
| 5 | Skift også koder til hosting, FTP, database og e-mail |
| 6 | Overvåg siden for mistænkelig aktivitet og gennemgå logfiler |
| 7 | Vurder, om hændelsen skal anmeldes som brud på persondatasikkerheden |
På https://haveibeenpwned.com kan du kontrollere om din email adresse og dermed passwords findes i denne database over leaks fra hele verden. Tjeneste er sikker at bruge.
Afsender ID
| Kilde | politi.dk, europol.europa.eu, hivepro.com, JESPER CHRISTIANSEN, ICARE SECURITY A/S. |
| Kildelinks | https://politi.dk/national-enhed-for-saerlig-kriminalitet/nyhedsliste/skadelig-kode-fjernet-fra-over-600-hjemmesider/2026/11/12 https://www.europol.europa.eu/media-press/newsroom/news/64-million-victim-datasets-secured-in-international-operation-against-malware-networks https://hivepro.com/threat-advisory/return-of-gootloader-blending-technical-evasion-with-operational-discipline/, |
| Fotokredit | NSK og EUROPOL |
| Tags | #Gootloader, #WordPress, #NSK, #National enhed for Særlig Kriminalitet, #Operation Endgame, #Europol, #Eurojust, #Ransomware, #Malware, #Cyberkriminalitet, #Mathias Andersen, #Adgangskoder, #Multifaktorgodkendelse, #GDPR |
| Copyrights | Ⓒ 2026 Copyright by ICARE A/S, kan deles ved aktivt link til denne artikel. |
