StopAndProtect-Malware nutzt 2.000 gehackte WordPress-Seiten

Eine weltweite Cyberkriminalitätskampagne namens StopAndProtect hat fast 2.000 gehackte WordPress-Websites in eine Infrastruktur verwandelt, um Malware zu verbreiten, sensible Dateien zu stehlen und weitere Angriffe zu koordinieren, so ein Bericht von Check Point Research. Die Forscher entdeckten Mitte Mai 2026 eine Ransomware-Familie mit demselben Namen und kartierten dann die größere Kampagne. WordPress ist das Content-Management-System hinter einem großen Teil der Websites weltweit, was schlecht gewartete Installationen zu einem attraktiven Ziel macht. Check Point sagt, dass die Operation nicht auf einem einzelnen Malware-Stück basiert, sondern auf einem ganzen Toolkit von krimineller Software, die zusammenarbeitet, mit verschiedenen Komponenten zum Verschlüsseln von Dateien, zum stillen Stehlen von Dokumenten, zum Sperren von Bildschirmen und sogar zum Live-Chat mit Opfern.

Die Infektion beginnt mit einem ClickFix-Social-Engineering-Angriff, der Bezeichnung für gefälschte CAPTCHA-ähnliche Aufforderungen, die Besucher anweisen, einen Befehl zu kopieren, einzufügen und auszuführen. Auf einem Windows-Computer startet die Ausführung dieses Befehls ein PowerShell-Skript, ein in Windows integriertes Automatisierungs- und Befehls-Tool. Das Skript startet dann eine Kette von .NET-Downloadern und -Loadern, also Programmen, die für Microsofts .NET-Framework geschrieben wurden und weiteren Code von den Servern der Angreifer abrufen und ausführen. Laut Check Point meldet die erste Stufe Statistiken an den Command-and-Control-Server, oder C2, zurück und lädt die nächste Stufe. Eine zweite Stufe führt Prüfungen auf Analyse-Sandboxes durch und fügt mehr Protokollierung hinzu, bevor die Hauptkomponenten gestartet werden. Die dritte Stufe enthält sechs Tools: SilentEncryptor, das entweder alle infizierten Computer oder nur die mit bestimmten Hostnamen verschlüsselt; NetworkShareScanner, das sich wie ein SMB- oder USB-Wurm auf andere Geräte ausbreitet, das heißt, es kann über freigegebene Ordner und Wechseldatenträger springen; ein VBS-Spreader, der sich über Festplatten und Wechselmedien verbreitet und sich seitlich über WMI, eine Windows-Verwaltungstechnologie, bewegt; LockScreen, das Benutzereingaben blockiert und eine Lösegeldforderung mit einem Zahlungs-QR-Code anzeigt; SimpleChatProxy, eine benutzerdefinierte Chat-Anwendung, die das Opfer und den Operator verbindet; und SilentDataCollector, das eine Liste aller Laufwerke erstellt, diese Liste verschlüsselt und an den C2-Server sendet. Der Angreifer kann eine Befehlsdatei hochladen, die der Stealer liest, um bestimmte Dateien zu sammeln. Check Point fand auch, dass neuere Versionen des Datensammlers zusätzliche Fähigkeiten hinzufügen, darunter einen Keylogger, also Software, die jeden Tastendruck eines Benutzers aufzeichnet, mit Erkennung gültiger E-Mail-Adressen, die Fähigkeit, Daten aus WhatsApp abzurufen, das Zuordnen und Aufheben der Zuordnung von Netzwerkfreigaben und das Aufnehmen von Screenshots der Benutzeraktivität alle 30 Sekunden. Ein Operator kann ein WhatsApp-Suchschlüsselwort für Web- und Desktop-Versionen ausgeben; der Stealer wartet, bis das Opfer inaktiv ist, und verwendet dann WhatsApp-Automatisierung, um das Suchfeld zu fokussieren, das Schlüsselwort einzugeben, die Kontaktinformationen zu öffnen und einen Screenshot aufzunehmen. Check Point stellt fest, dass die Kampagne nicht immer mit Ransomware endet; in den meisten beobachteten Fällen stahlen die Angreifer heimlich Dateilisten und exfiltrierten dann ausgewählte Dokumente.

Die gehackten WordPress-Seiten dienen drei Hauptzwecken: Hosten von Malware-Stufen, Ausführen als Command-and-Control-Server zum Senden von Anweisungen und Speichern von Protokollen, die von Opfern gestohlen wurden. Check Point sagte, dass seine Forscher tiefere Einblicke erhielten, weil die Angreifer Fehler bei der operationalen Sicherheit machten, die detaillierte Infektionsprotokolle, Screenshots von Opfermaschinen und die Tools zur Massenverwaltung kompromittierter Websites offenlegten. Viele der Seiten laufen mit veralteten Versionen von WordPress und veralteten Plugins. Eine kompromittierte Website lief mit einer WordPress-Version von 2021, was sie für etwa 40 verschiedene Schwachstellen anfällig machte. Die Seiten werden manipuliert, um Besuchern gefälschte ClickFix-CAPTCHA-Aufforderungen anzuzeigen. Um eine Hintertür zu installieren, laden die Angreifer ein ZIP-Archiv hoch, das eine PHP-Datei namens uploader-installer.php enthält. PHP ist die Programmiersprache, auf der WordPress aufbaut. Diese Datei installiert ein benutzerdefiniertes WordPress-Plugin und verwendet es dann, um eine Must-Use-(MU)-Plugin-Datei im Verzeichnis wp-content/mu-plugins zu erstellen. Ein MU-Plugin läuft automatisch auf einer WordPress-Seite. Dieses Plugin ermöglicht es jedem mit gültigen Anmeldeinformationen, beliebige Dateien, einschließlich PHP-Dateien, in fast jeden Pfad unter dem WordPress-Stammverzeichnis hochzuladen. Das Hochladen von PHP-Dateien kann zu Remote-Code-Ausführung führen, was bedeutet, dass der Angreifer seinen eigenen Code auf dem Server ausführen kann. Nachdem die Seite kompromittiert ist, deaktiviert sich das Plugin selbst und löscht sich selbst, um Erkennung zu vermeiden. Die hochgeladenen Dateien enthalten gestohlene Daten von Opfermaschinen. Check Point zählte mehr als 700 Archive zwischen Mitte Mai und Ende Juli 2026. Unter diesen Dateien waren interne Entwicklungstools, die offenbar daher stammen, dass der Operator versehentlich seine eigene Maschine infiziert hat, darunter ein benutzerdefiniertes Automatisierungsdienstprogramm namens fMain.frm, das zur Verwaltung kompromittierter WordPress-Seiten verwendet wird. Dieses Tool ermöglicht es dem Operator, kompromittierte Seiten massenhaft zu verwalten, Dateien hochzuladen oder zu löschen und das gefälschte CAPTCHA oder Caching über benutzerdefinierte PHP-Skripte umzuschalten.

Kompromittierte Websites enthalten auch ein bösartiges "verify"-Plugin, das den ursprünglichen Inhalt mit einem gefälschten CAPTCHA nur für Windows-Besucher überlagert. Laut Jaromír Hořejší, dem Check-Point-Forscher, der die Analyse leitete, verwenden die Angreifer benutzerdefinierte PHP-Skripte, um Dateien zu verwalten, die auf die WordPress-Seiten hochgeladen wurden, und diese Skripte installieren auch das "verify"-Plugin. Das Plugin wird aktiviert, nachdem der Angreifer eine Datei namens activator.php hochgeladen hat, und löscht sich dann selbst. Hořejší sagte gegenüber The Hacker News per E-Mail, dass die Angriffe nur auf Windows-Benutzer abzielen, während Besucher auf Apple macOS oder Linux nicht betroffen sind. Er sagte auch, dass basierend auf Dateizeitstempeln von einer kompromittierten Website das sichere Upload-Skript wahrscheinlich zuerst hochgeladen wurde und die anderen Skripte wahrscheinlich als Backups hochgeladen wurden, damit die Angreifer, falls einige entdeckt und gelöscht würden, immer noch Zugriff behalten würden.

Stand 24. Juli 2026 hatte die Kampagne mehr als 6.000 eindeutige IP-Adressen kompromittiert, die numerischen Bezeichnungen, die Geräte im Internet identifizieren. Die größten Anteile entfielen auf die Vereinigten Staaten mit 1.852, Russland mit 630 und Indien mit 630. Check Points Eli Smadja fasste das Risiko zusammen und sagte, dass StopAndProtect zeigt, wie Angreifer Tausende schlecht gewarteter WordPress-Seiten in eine verteilte kriminelle Infrastruktur für Malware-Lieferung, Überwachung, Datendiebstahl und Ransomware verwandeln können. Das Unternehmen fordert Organisationen auf, bei unerwarteten CAPTCHA-Aufforderungen, die Benutzer zum Kopieren, Einfügen oder Ausführen von Befehlen auffordern, vorsichtig zu sein, Geräte und Sicherheitssoftware auf dem neuesten Stand zu halten und jede Website zu verlassen, die ungewöhnliche Schritte außerhalb des Browsers verlangt. Für Website-Besitzer beginnt die Verringerung der Chance, Teil einer solchen Infrastruktur zu werden, damit, WordPress-Kern und Plugins aktuell zu halten; verwaltetes WordPress-Hosting wie AEU Hosting beinhaltet Update- und Härtungsarbeiten als Teil des Service, was diese Wartung erleichtert.