StopAndProtect, la campagne de ransomware qui utilise près de 2 000 sites WordPress comme infrastructure criminelle

Un botnet bâti sur des sites WordPress compromis

Check Point Research a identifié StopAndProtect, une opération criminelle mondiale active au moins depuis la mi-mai 2026. La campagne exploite près de 2 000 sites WordPress compromis pour diffuser des malwares, transmettre des commandes aux systèmes infectés, collecter des journaux et stocker des documents, des captures d’écran ainsi que d’autres données volées.

L’infrastructure ne repose pas sur un seul serveur de commande et de contrôle (C2). Les sites piratés remplissent simultanément trois fonctions : ils hébergent les composants de l’infection, reçoivent les instructions des opérateurs et stockent les données recueillies auprès des victimes.

Au 24 juillet 2026, plus de 6 000 adresses IP uniques avaient été compromises. Les États-Unis étaient le pays le plus représenté, avec 1 852 adresses IP, suivis de la Russie et de l’Inde, avec 630 adresses chacun.

La campagne avait d’abord été associée à une famille de ransomwares appelée StopAndProtect. Toutefois, dans la plupart des incidents observés, les attaquants ne chiffrent pas immédiatement les appareils. Ils commencent par énumérer les fichiers disponibles, repérer ceux qui les intéressent, puis procéder éventuellement à leur exfiltration.

Un faux CAPTCHA déclenche la chaîne d’infection

L’accès initial s’effectue au moyen d’une campagne d’ingénierie sociale fondée sur le modèle ClickFix. Un visiteur arrive sur un site WordPress compromis et voit apparaître un faux CAPTCHA, souvent superposé à la page d’origine.

La procédure invite l’utilisateur à copier, coller ou exécuter une commande. Il ne s’agit pas d’une simple vérification antispam : l’instruction entraîne l’exécution de PowerShell sur l’ordinateur de la victime.

La chaîne technique comporte plusieurs étapes :

1. un premier téléchargeur .NET communique des statistiques au serveur C2 et télécharge le composant suivant ;
2. un second téléchargeur/loader .NET effectue des contrôles anti-sandbox, génère des journaux supplémentaires et prépare l’environnement ;
3. l’étape finale charge les modules opérationnels, sélectionnés en fonction des objectifs de l’opérateur.

Les contrôles anti-sandbox peuvent aider les attaquants à distinguer les systèmes réels des environnements d’analyse automatisée. Les journaux détaillés leur permettent quant à eux de suivre la progression des infections et de gérer les machines compromises.

Le faux CAPTCHA est particulièrement trompeur, car il s’appuie sur un comportement désormais familier des utilisateurs. Toute demande d’exécuter des commandes en dehors de l’interface habituelle du navigateur doit toutefois être considérée comme un signe potentiel de compromission ou de fraude.

Six modules pour espionner, se propager et chiffrer

Le volet opérationnel de StopAndProtect comprend six composants principaux, qui ne sont pas nécessairement tous installés sur chaque système.

SilentEncryptor peut chiffrer tous les ordinateurs infectés ou limiter son action aux appareils portant certains noms d’hôte. Cette sélection permet de cibler des objectifs précis plutôt que de lancer automatiquement un chiffrement indiscriminé.

NetworkShareScanner est un ver capable de se propager via SMB et les supports USB. Le module peut ainsi étendre l’infection au-delà du premier ordinateur compromis.

Une fonction similaire est assurée par le VBS spreader, qui copie le malware sur les disques durs et les périphériques amovibles, analyse le réseau et tente de se déplacer latéralement via WMI.

LockScreen bloque les entrées de l’utilisateur et affiche une demande de rançon. Le message contient un QR code destiné à faciliter le paiement.

La communication entre la victime et l’opérateur peut s’effectuer via SimpleChatProxy, une application de chat personnalisée. Le groupe criminel dispose ainsi d’un canal opérationnel intégré à l’écosystème de l’attaque.

Enfin, SilentDataCollector dresse la liste des lecteurs présents sur le système, la chiffre et l’envoie à l’infrastructure C2. L’opérateur peut également téléverser un fichier de commandes, utilisé par le composant voleur pour rechercher et collecter des fichiers spécifiques.

Keylogging, captures d’écran et vol de données WhatsApp

Les versions récentes du stealer étendent considérablement les capacités de surveillance. Le malware enregistre les frappes au clavier, repère les adresses e-mail valides, collecte des données depuis WhatsApp et peut cartographier ou déconnecter les partages réseau.

L’une de ses fonctions les plus intrusives consiste à prendre automatiquement des captures d’écran toutes les 30 secondes. Les attaquants peuvent ainsi reconstituer l’activité de l’utilisateur, même lorsque des documents ou des identifiants ne sont pas directement dérobés.

Le module WhatsApp prend en charge les versions Web et desktop. L’opérateur peut spécifier un mot-clé, par exemple le nom d’un contact. Lorsque la victime n’utilise pas activement l’ordinateur, le malware recherche ce mot, ouvre les informations associées au contact et prend une capture d’écran.

Les données collectées peuvent inclure des conversations, des documents, des identifiants, des écrans d’applications professionnelles et des informations utiles à de nouvelles fraudes. La possibilité de se déplacer latéralement via SMB, USB et WMI accroît également les risques pour les réseaux faiblement segmentés.

Comment les attaquants contrôlent les sites piratés

La compromission des sites WordPress ne sert pas uniquement à afficher le faux CAPTCHA. Les opérateurs utilisent une archive ZIP contenant uploader-installer.php, un script PHP capable d’installer un plugin personnalisé.

Le plugin crée un must-use plugin dans le répertoire wp-content/mu-plugins. Ce mécanisme permet au code de se charger automatiquement et rend la persistance moins visible qu’avec un plugin classique activable depuis l’interface d’administration.

Grâce à des identifiants valides, les attaquants peuvent téléverser des fichiers arbitraires, notamment des scripts PHP, dans presque n’importe quel emplacement situé sous la racine WordPress. Le chargement de code PHP peut permettre l’exécution de commandes à distance sur le serveur.

Une fois leurs opérations terminées, les attaquants désactivent et suppriment le plugin afin de réduire les risques de détection. Les fichiers téléversés peuvent toutefois rester présents sur le site et contenir des données exfiltrées depuis les systèmes des victimes.

Un second composant, nommé verify, superpose le contenu du site avec le faux CAPTCHA. Il est activé par activator.php, qui se supprime ensuite.

La plupart des sites observés utilisaient des versions obsolètes de WordPress ou des plugins qui n’étaient pas à jour. Un site analysé exécutait une version de WordPress datant de 2021 et était exposé à environ 40 vulnérabilités.

L’exposition accidentelle de données a également permis d’observer la machine d’administration des attaquants. Entre la mi-mai et la fin juillet 2026, plus de 700 archives contenant des données volées ont été identifiées, ainsi que des outils internes apparemment dérobés aux opérateurs eux-mêmes après une infection accidentelle.

Parmi ces outils figurait fMain.frm, une utilité utilisée pour administrer de nombreux sites WordPress, téléverser ou supprimer des fichiers, gérer des scripts PHP, activer le faux CAPTCHA et contrôler la mise en cache.

Contrôles urgents pour les entreprises et les administrateurs

Les administrateurs WordPress doivent mettre à jour le CMS, les plugins, les thèmes et le système d’exploitation du serveur. Ils doivent notamment vérifier le répertoire wp-content/mu-plugins, les fichiers uploader-installer.php et activator.php, ainsi que la présence du plugin verify.

Les journaux d’accès, les téléversements de fichiers PHP, les modifications apportées aux plugins et les connexions vers des infrastructures inconnues doivent être examinés. Les fichiers récemment supprimés et les activités inhabituelles dans les répertoires WordPress peuvent également révéler une compromission.

Sur les systèmes endpoint, il convient de surveiller PowerShell, les loaders .NET, les accès SMB et USB, l’utilisation de WMI, les processus de chiffrement, le verrouillage de l’écran et les activités automatisées sur WhatsApp. Les hôtes suspects doivent être rapidement isolés du réseau.

Les identifiants WordPress potentiellement exposés doivent être renouvelés, tout comme les jetons et les clés éventuellement accessibles depuis le serveur. Il est également recommandé de vérifier si ces mêmes comptes ont été réutilisés sur d’autres services.

Les utilisateurs doivent quitter immédiatement toute page qui leur demande de copier-coller des commandes ou d’exécuter des instructions inhabituelles pour passer un CAPTCHA. StopAndProtect montre qu’un site apparemment légitime peut devenir, sans signe évident pour le visiteur, le premier maillon d’une chaîne menant au vol de données et au ransomware.