Il malware StopAndProtect utilizza 2.000 siti WordPress violati

Un'operazione cybercriminale globale denominata StopAndProtect ha trasformato quasi 2.000 siti WordPress violati in infrastrutture per diffondere malware, rubare file sensibili e coordinare ulteriori attacchi, secondo un rapporto di Check Point Research. I ricercatori hanno scoperto una famiglia di ransomware con lo stesso nome a metà maggio 2026 e poi hanno mappato la campagna più ampia. WordPress è il sistema di gestione dei contenuti alla base di una grande quota dei siti web mondiali, il che rende le installazioni scarsamente mantenute un obiettivo attraente. Check Point afferma che l'operazione non si basa su un singolo malware ma su un intero toolkit di software criminale che lavora insieme, con componenti diversi per crittografare file, rubare documenti silenziosamente, bloccare schermate e persino chattare in tempo reale con le vittime.

L'infezione inizia con un attacco di ingegneria sociale ClickFix, il nome dato ai prompt in stile falso CAPTCHA che istruiscono i visitatori a copiare, incollare ed eseguire un comando. Su un computer Windows, l'esecuzione di quel comando avvia uno script PowerShell, uno strumento di automazione e comando integrato in Windows. Lo script avvia quindi una catena di downloader e loader .NET, che sono programmi scritti per il framework .NET di Microsoft che recuperano ed eseguono altro codice dai server degli attaccanti. Secondo Check Point, la prima fase invia statistiche al server di comando e controllo, o C2, e carica la fase successiva. Una seconda fase esegue controlli per sandbox di analisi e aggiunge ulteriori log prima di avviare i componenti principali. La terza fase contiene sei strumenti: SilentEncryptor, che crittografa tutti i computer infetti o solo quelli con nomi host specifici; NetworkShareScanner, che si diffonde ad altri dispositivi come un worm SMB o USB, il che significa che può saltare attraverso cartelle condivise e unità rimovibili; un diffusore VBS che si propaga attraverso dischi rigidi e supporti rimovibili e si muove lateralmente tramite WMI, una tecnologia di gestione Windows; LockScreen, che blocca l'input dell'utente e mostra una nota di riscatto con un codice QR di pagamento; SimpleChatProxy, un'applicazione di chat personalizzata che collega la vittima e l'operatore; e SilentDataCollector, che crea un elenco di tutte le unità, crittografa quell'elenco e lo invia al server C2. L'attaccante può caricare un file di comando che il raccoglitore legge per raccogliere file specifici. Check Point ha anche scoperto che le versioni più recenti del raccoglitore di dati aggiungono capacità extra, tra cui un keylogger, software che registra ogni tasto premuto da un utente, con rilevamento di indirizzi email validi, la capacità di estrarre dati da WhatsApp, mappare e smappare condivisioni di rete e catturare screenshot dell'attività dell'utente ogni 30 secondi. Un operatore può emettere una parola chiave di ricerca WhatsApp sia per le versioni web che desktop; il raccoglitore attende che la vittima sia inattiva, quindi utilizza l'automazione di WhatsApp per focalizzare la casella di ricerca, inserire la parola chiave, aprire le informazioni di contatto e catturare uno screenshot. Check Point osserva che la campagna non termina sempre con ransomware; nella maggior parte dei casi osservati gli attaccanti hanno rubato segretamente elenchi di file e poi esfiltrato documenti selezionati.

I siti WordPress violati servono tre scopi principali: ospitare fasi malware, funzionare come server di comando e controllo per inviare istruzioni e archiviare log rubati alle vittime. Check Point ha affermato che i suoi ricercatori hanno ottenuto una visibilità più profonda grazie a errori di sicurezza operativa degli attaccanti che hanno esposto log di infezione dettagliati, screenshot dalle macchine delle vittime e gli strumenti utilizzati per gestire in massa i siti compromessi. Molti dei siti eseguono versioni obsolete di WordPress e plugin obsoleti. Un sito compromesso eseguiva una versione di WordPress del 2021, lasciandolo aperto a circa 40 vulnerabilità diverse. I siti vengono manomessi per mostrare falsi prompt CAPTCHA ClickFix ai visitatori. Per installare una backdoor, gli attaccanti caricano un archivio ZIP contenente un file PHP chiamato uploader-installer.php. PHP è il linguaggio di programmazione su cui è costruito WordPress. Quel file installa un plugin WordPress personalizzato e poi lo utilizza per creare un file plugin must-use (MU) nella directory wp-content/mu-plugins. Un plugin MU viene eseguito automaticamente su un sito WordPress. Questo plugin consente a chiunque abbia credenziali valide di caricare file arbitrari, inclusi file PHP, su quasi qualsiasi percorso sotto la root di WordPress. Il caricamento di file PHP può portare all'esecuzione di codice remoto, il che significa che l'attaccante può eseguire il proprio codice sul server. Dopo che il sito è compromesso, il plugin si disattiva e si auto-elimina per evitare il rilevamento. I file caricati includono dati rubati dalle macchine delle vittime. Check Point ha contato più di 700 archivi tra metà maggio e fine luglio 2026. Tra quei file c'erano strumenti di sviluppo interni che sembrano provenire dall'operatore che ha accidentalmente infettato la propria macchina, incluso un'utilità di automazione personalizzata chiamata fMain.frm utilizzata per gestire i siti WordPress compromessi. Quello strumento consente all'operatore di gestire in massa le pagine compromesse, caricare o eliminare file e attivare/disattivare il falso CAPTCHA o la cache tramite script PHP personalizzati.

I siti compromessi contengono anche un plugin malevolo "verify" che sovrappone il contenuto originale con un falso CAPTCHA solo per i visitatori Windows. Secondo Jaromír Hořejší, il ricercatore di Check Point che ha guidato l'analisi, gli attaccanti utilizzano script PHP personalizzati per gestire i file caricati sui siti WordPress, e quegli script installano anche il plugin "verify". Il plugin viene attivato dopo che l'attaccante carica un file chiamato activator.php, e poi si auto-elimina. Hořejší ha detto a The Hacker News via email che gli attacchi prendono di mira solo gli utenti Windows, mentre i visitatori su Apple macOS o Linux non sono interessati. Ha anche detto che, in base ai timestamp dei file di un sito compromesso, lo script di caricamento sicuro è stato probabilmente caricato per primo, e gli altri script sono stati probabilmente caricati come backup in modo che, se alcuni fossero stati scoperti ed eliminati, gli attaccanti avrebbero comunque mantenuto l'accesso.

Al 24 luglio 2026, la campagna aveva compromesso più di 6.000 indirizzi IP unici, le etichette numeriche che identificano i dispositivi su Internet. Le quote maggiori erano negli Stati Uniti con 1.852, in Russia con 630 e in India con 630. Eli Smadja di Check Point ha riassunto il rischio, affermando che StopAndProtect mostra come gli attaccanti possono trasformare migliaia di siti WordPress scarsamente mantenuti in un'infrastruttura criminale distribuita per la distribuzione di malware, la sorveglianza, il furto di dati e il ransomware. L'azienda esorta le organizzazioni a diffidare di prompt CAPTCHA inaspettati che chiedono agli utenti di copiare, incollare o eseguire comandi, a mantenere aggiornati dispositivi e software di sicurezza e a lasciare qualsiasi sito web che richieda passaggi insoliti al di fuori del browser. Per i proprietari di siti web, ridurre la possibilità di diventare parte di tale infrastruttura inizia con il mantenere aggiornati il core di WordPress e i plugin; l'hosting WordPress gestito come AEU Hosting include il lavoro di aggiornamento e hardening come parte del servizio, il che rende più facile quella manutenzione.