StopAndProtect: Eine Ransomware-Kampagne nutzt fast 2.000 WordPress-Websites als kriminelle Infrastruktur

Ein Botnetz aus kompromittierten WordPress-Websites

Check Point Research hat StopAndProtect entdeckt, eine weltweit aktive kriminelle Operation, die mindestens seit Mitte Mai 2026 läuft. Die Kampagne nutzt fast 2.000 kompromittierte WordPress-Websites, um Malware zu verbreiten, Befehle an infizierte Systeme zu senden, Protokolle zu sammeln und Dokumente, Screenshots sowie weitere gestohlene Daten zu speichern.

Die Infrastruktur basiert nicht auf einem einzelnen Command-and-Control-Server. Die kompromittierten Websites erfüllen gleichzeitig drei Funktionen: Sie hosten die Infektionskomponenten, empfangen Anweisungen der Betreiber und speichern die von den Opfern gesammelten Daten.

Am 24. Juli 2026 waren mehr als 6.000 eindeutige IP-Adressen kompromittierter Systeme bekannt. Die Vereinigten Staaten stellten mit 1.852 IP-Adressen den größten Anteil, gefolgt von Russland und Indien mit jeweils 630 Adressen.

Anfangs wurde die Kampagne einer Ransomware-Familie namens StopAndProtect zugerechnet. In den meisten beobachteten Fällen verschlüsseln die Angreifer die Geräte jedoch nicht sofort. Zunächst erfassen sie die verfügbaren Dateien, identifizieren interessante Inhalte und führen gegebenenfalls eine Exfiltration durch.

Gefälschte CAPTCHA-Prüfung startet die Infektionskette

Der Erstzugang erfolgt über eine Social-Engineering-Kampagne nach dem ClickFix-Muster. Ein Besucher ruft eine kompromittierte WordPress-Website auf und sieht ein gefälschtes CAPTCHA, das häufig über die Originalseite gelegt wird.

Der Ablauf fordert den Nutzer auf, einen Befehl zu kopieren, einzufügen oder auszuführen. Dabei handelt es sich nicht um eine gewöhnliche Spam-Prüfung: Die Anweisung führt zur Ausführung von PowerShell auf dem Computer des Opfers.

Die technische Angriffskette umfasst mehrere Stufen:

1. ein initialer .NET-Downloader übermittelt Statistiken an den C2-Server und lädt die nächste Komponente herunter;
2. ein zweiter .NET-Downloader beziehungsweise -Loader führt Anti-Sandbox-Prüfungen durch, erstellt zusätzliche Protokolle und bereitet die Umgebung vor;
3. die letzte Stufe lädt die operativen Module, die je nach Zielsetzung des Betreibers ausgewählt werden.

Anti-Sandbox-Prüfungen helfen den Angreifern dabei, reale Systeme von automatisierten Analyseumgebungen zu unterscheiden. Die detaillierten Protokolle ermöglichen es zudem, den Fortschritt der Infektionen zu verfolgen und kompromittierte Rechner zu verwalten.

Das gefälschte CAPTCHA ist besonders perfide, weil es ein den Nutzern vertrautes Verhalten ausnutzt. Die Aufforderung, Befehle außerhalb der normalen Browseroberfläche auszuführen, sollte jedoch als Hinweis auf eine Kompromittierung oder einen Betrugsversuch betrachtet werden.

Sechs Module für Spionage, Verbreitung und Verschlüsselung

Die operative Phase von StopAndProtect umfasst sechs zentrale Komponenten, die nicht unbedingt auf jedem System installiert werden.

SilentEncryptor kann alle infizierten Computer verschlüsseln oder die Aktion auf Geräte mit bestimmten Hostnamen beschränken. Dadurch lassen sich gezielt einzelne Ziele angreifen, anstatt automatisch eine unterschiedslose Verschlüsselung zu starten.

NetworkShareScanner ist ein Wurm, der sich über SMB und USB-Datenträger verbreiten kann. Das Modul kann die Infektion somit über den zuerst erreichten Computer hinaus ausweiten.

Eine ähnliche Funktion übernimmt der VBS spreader. Er kopiert die Malware auf Festplatten und Wechseldatenträger, analysiert das Netzwerk und versucht, sich über WMI lateral zu bewegen.

LockScreen blockiert die Eingabe des Nutzers und zeigt eine Lösegeldforderung an. Die Nachricht enthält einen QR-Code, der die Zahlung erleichtern soll.

Die Kommunikation zwischen Opfer und Betreiber kann über SimpleChatProxy, eine speziell angepasste Chat-Anwendung, erfolgen. Damit verfügt die kriminelle Gruppe über einen in das Angriffssystem integrierten operativen Kommunikationskanal.

SilentDataCollector erstellt schließlich eine Liste der auf dem System vorhandenen Laufwerke, verschlüsselt sie und sendet sie an die C2-Infrastruktur. Der Betreiber kann außerdem eine Befehlsdatei hochladen, die der Stealer zum Auffinden und Sammeln bestimmter Dateien verwendet.

Keylogging, Screenshots und Datendiebstahl aus WhatsApp

Neuere Versionen des Stealers erweitern die Überwachung erheblich. Die Malware protokolliert Tastatureingaben, erkennt gültige E-Mail-Adressen, sammelt Daten aus WhatsApp und kann Netzwerkfreigaben erfassen oder trennen.

Zu den invasivsten Funktionen gehört die automatische Erstellung von Screenshots alle 30 Sekunden. Dadurch lässt sich die Aktivität des Nutzers nachvollziehen, selbst wenn Dokumente oder Zugangsdaten nicht direkt gestohlen werden.

Das WhatsApp-Modul unterstützt sowohl die Web- als auch die Desktop-Version. Der Betreiber kann ein Stichwort angeben, beispielsweise den Namen eines Kontakts. Wenn das Opfer den Computer gerade nicht aktiv nutzt, sucht die Malware nach dem Begriff, öffnet die zugehörigen Kontaktinformationen und erstellt einen Screenshot.

Die gesammelten Daten können Unterhaltungen, Dokumente, Zugangsdaten, Ansichten von Unternehmensanwendungen und Informationen für weitere Betrugsversuche umfassen. Die Möglichkeit zur lateralen Bewegung über SMB, USB und WMI erhöht zudem das Risiko für Netzwerke mit unzureichend segmentierten Geräten.

So kontrollieren die Angreifer die kompromittierten Websites

Die Kompromittierung der WordPress-Websites dient nicht nur der Anzeige des gefälschten CAPTCHAs. Die Betreiber verwenden ein ZIP-Archiv mit uploader-installer.php, einem PHP-Skript, das ein benutzerdefiniertes Plugin installiert.

Das Plugin erstellt ein Must-use-Plugin im Verzeichnis wp-content/mu-plugins. Dadurch wird der Code automatisch geladen und die Persistenz bleibt weniger sichtbar als bei einem gewöhnlichen Plugin, das über die Administrationsoberfläche aktiviert wird.

Mit gültigen Zugangsdaten können die Angreifer beliebige Dateien, einschließlich PHP-Skripten, in nahezu jeden Pfad unterhalb des WordPress-Root-Verzeichnisses hochladen. Das Hochladen von PHP-Code kann zur Remote-Ausführung von Befehlen auf dem Server führen.

Nach Abschluss ihrer Aktivitäten deaktivieren und löschen die Angreifer das Plugin, um die Wahrscheinlichkeit einer Entdeckung zu verringern. Hochgeladene Dateien können jedoch auf der Website verbleiben und auch aus den Systemen der Opfer exfiltrierte Daten enthalten.

Eine zweite Komponente namens verify legt das gefälschte CAPTCHA über den Website-Inhalt. Sie wird über activator.php aktiviert, das sich anschließend selbst löscht.

Die meisten untersuchten Websites verwendeten veraltete WordPress-Versionen oder nicht aktualisierte Plugins. Eine analysierte Website lief mit einer WordPress-Version aus dem Jahr 2021 und war ungefähr 40 Schwachstellen ausgesetzt.

Die versehentliche Offenlegung von Daten ermöglichte auch Einblicke in den Administrationsrechner der Angreifer. Zwischen Mitte Mai und Ende Juli 2026 wurden mehr als 700 Archive mit gestohlenen Daten identifiziert. Außerdem fanden sich interne Werkzeuge, die offenbar nach einer versehentlichen Infektion von den Angreifern selbst entwendet worden waren.

Dazu gehört fMain.frm, ein Tool zur Verwaltung zahlreicher WordPress-Websites, zum Hoch- und Herunterladen von Dateien, zur Verwaltung von PHP-Skripten, zur Aktivierung des gefälschten CAPTCHAs und zur Steuerung des Cachings.

Dringende Maßnahmen für Unternehmen und Administratoren

WordPress-Administratoren sollten das CMS, Plugins, Themes und das Betriebssystem des Servers aktualisieren. Besonders zu prüfen sind das Verzeichnis wp-content/mu-plugins, die Dateien uploader-installer.php und activator.php sowie das Vorhandensein des Plugins verify.

Zugriffsprotokolle, Uploads von PHP-Dateien, Änderungen an Plugins und Verbindungen zu unbekannter Infrastruktur sollten untersucht werden. Auch kürzlich gelöschte Dateien oder ungewöhnliche Aktivitäten in WordPress-Verzeichnissen können Hinweise auf eine Kompromittierung liefern.

Auf Endgeräten sollten PowerShell, .NET-Loader, SMB- und USB-Zugriffe, die Verwendung von WMI, Verschlüsselungsprozesse, Bildschirmsperren und automatisierte Aktivitäten in WhatsApp überwacht werden. Verdächtige Hosts müssen schnellstmöglich vom Netzwerk isoliert werden.

Potenziell offengelegte WordPress-Zugangsdaten sollten geändert werden, ebenso wie Tokens und Schlüssel, auf die der Server möglicherweise zugreifen konnte. Außerdem sollte geprüft werden, ob dieselben Konten bei anderen Diensten wiederverwendet wurden.

Nutzer sollten Seiten sofort verlassen, die dazu auffordern, Befehle zu kopieren und einzufügen oder ungewöhnliche Anweisungen zur Umgehung eines CAPTCHAs auszuführen. StopAndProtect zeigt, dass eine scheinbar legitime Website für Besucher unbemerkt zum ersten Glied einer Angriffskette werden kann, die zu Datendiebstahl und Ransomware führt.