La campagna StopAndProtect sfrutta quasi 2.000 siti WordPress compromessi per distribuire malware e rubare dati

Un rapporto sulla sicurezza informatica ha identificato una campagna di distribuzione di malware nota come StopAndProtect che ha dirottato quasi 2.000 siti WordPress compromessi per diffondere software dannoso e rubare dati a visitatori ignari. WordPress, un sistema di gestione dei contenuti (CMS) ampiamente utilizzato che consente alle persone di creare e gestire siti web senza scrivere codice, è un bersaglio frequente per gli aggressori perché una singola vulnerabilità può esporre migliaia di siti. In questa campagna, i siti violati fungono da host inconsapevoli per il malware, il che significa che chiunque visiti una pagina compromessa potrebbe essere infettato o vedere catturate le proprie informazioni.

Sebbene il metodo di infezione esatto utilizzato da StopAndProtect non sia stato dettagliato nel rapporto disponibile, tali campagne in genere iniziano quando gli aggressori sfruttano plugin, temi o password amministrative deboli su installazioni WordPress. Una volta dentro, iniettano script dannosi nei file del sito o nel database. Questi script possono reindirizzare i visitatori a pagine di phishing che imitano schermate di accesso legittime, attivare download drive-by (dove il malware si installa silenziosamente semplicemente visitando una pagina) o registrare ogni tasto premuto e ogni invio di modulo da parte del visitatore. Poiché i siti compromessi sono domini reali e consolidati, bypassano molti filtri di sicurezza basati sulla reputazione che normalmente bloccherebbero siti sconosciuti o sospetti.

L'impatto sui proprietari dei siti è grave. Un sito WordPress violato può essere inserito nella lista nera dai motori di ricerca, causando un crollo del traffico organico e danneggiando la reputazione del proprietario. I visitatori che cadono vittime del furto di credenziali possono incolpare il sito, portando a perdita di clienti e potenziali conseguenze legali. Per gli utenti Internet comuni, il pericolo è altrettanto reale: le credenziali di accesso rubate possono essere utilizzate per accedere a email, conti bancari o sistemi aziendali se le password vengono riutilizzate su più servizi. I dati rubati attraverso queste pagine compromesse possono includere dettagli personali, numeri di carte di pagamento o token di autenticazione che mantengono gli utenti connessi.

I ricercatori di sicurezza sottolineano che la scala di quasi 2.000 siti dirottati dimostra come gli aggressori automatizzati scansionino Internet alla ricerca di installazioni WordPress vulnerabili 24 ore su 24. I proprietari dei siti dovrebbero trattare la sicurezza come un processo continuo, non come una configurazione una tantum. Aggiornamenti regolari, controlli di accesso forti e monitoraggio attivo sono essenziali per impedire a un sito di diventare parte di una rete di distribuzione di malware. Per i visitatori, la campagna evidenzia perché mantenere aggiornati browser, sistemi operativi e strumenti antivirus sia fondamentale, poiché molti di questi attacchi si basano su difetti software noti che sono già stati corretti.

Per i proprietari di siti che desiderano ridurre il rischio di cadere vittima di tali campagne, l'utilizzo di un provider di hosting WordPress gestito può aiutare. AEU Hosting, ad esempio, offre hosting WordPress gestito con hardening della sicurezza, aggiornamenti automatici e monitoraggio del malware progettati per proteggere i siti dai vettori di compromissione comuni. Combinare un ambiente di hosting sicuro con un'amministrazione vigile del sito rimane la migliore difesa per non diventare partecipanti inconsapevoli di uno schema di distribuzione di malware.