Una campagna di cybercrime denominata StopAndProtect sta sfruttando una rete di quasi 2000 siti WordPress compromessi come infrastruttura distribuita per diffondere malware, gestire il comando e controllo e archiviare dati rubati. Il punto di forza di questa operazione non è un singolo virus, ma un toolkit modulare che combina più componenti con obiettivi diversi, dal furto silenzioso di documenti fino al ransomware.
La catena di infezione parte spesso da una tecnica di social engineering in stile ClickFix. Le vittime vengono indotte a fidarsi di falsi prompt CAPTCHA che invitano a copiare e incollare comandi, tipicamente PowerShell, avviando così il download di ulteriori moduli. Da qui entrano in gioco downloader e loader in ambiente .NET, organizzati a stadi, che eseguono controlli anti-sandbox, producono log e preparano il rilascio dei componenti principali.
Moduli e funzionalità osservate
- Cifratura dei file e componenti ransomware.
- Blocco schermo con richiesta di riscatto.
- Propagazione tramite SMB e USB.
- Componente VBS per diffusione e movimento laterale via WMI.
- Chat dedicata per comunicare con la vittima.
- Data stealer capace di elencare unità disco, esfiltrare inventari e prelevare file mirati su richiesta dell’operatore.
In molte infezioni, la fase ransomware non viene nemmeno attivata, perché gli attaccanti preferiscono sottrarre elenchi di file e contenuti specifici restando sotto traccia.
Le versioni più recenti del malware includono funzionalità aggiuntive come keylogger con rilevamento di email valide, cattura di screenshot a intervalli regolari e persino tecniche di esfiltrazione da WhatsApp su web e desktop tramite automazione, attivate quando l’utente è inattivo.
Compromissione WordPress e infrastruttura
Sul lato WordPress, i siti compromessi risultano spesso obsoleti e con plugin non aggiornati, esponendosi a decine di vulnerabilità. Gli attaccanti installano plugin malevoli e MU plugin nella cartella wp-content/mu-plugins, ottenendo la capacità di caricare file arbitrari (anche PHP), aprendo la strada a remote code execution. Dopo l’installazione, alcuni componenti si disattivano e si eliminano per ridurre la probabilità di rilevamento.
Sono stati inoltre identificati archivi di dati sottratti e strumenti interni usati per gestire in massa i siti WordPress violati, segno di una infrastruttura criminale ben organizzata che ha già colpito migliaia di indirizzi IP unici.