Immagine illustrativa generata con AI
StopAndProtect, la campagna ransomware che usa quasi 2.000 siti WordPress come infrastruttura criminale
Scopri come StopAndProtect sfrutta quasi 2.000 siti WordPress compromessi per attacchi ransomware, con dettagli su infezione, moduli e controllo remoto.
Testo generato da intelligenza artificiale, pubblicato senza revisione umana. Trasparenza IA
Una botnet costruita sui siti WordPress compromessi
Check Point Research ha individuato StopAndProtect, un’operazione criminale globale attiva almeno da metà maggio 2026. La campagna sfrutta quasi 2.000 siti WordPress compromessi per distribuire malware, impartire comandi ai sistemi infetti, raccogliere registri e conservare documenti, screenshot e altri dati sottratti.
L’infrastruttura non si basa su un singolo server di comando e controllo. I siti violati svolgono contemporaneamente tre funzioni: ospitano i componenti dell’infezione, ricevono le istruzioni degli operatori e archiviano i dati raccolti dalle vittime.
Al 24 luglio 2026 risultavano compromessi più di 6.000 indirizzi IP unici. Gli Stati Uniti erano il Paese più rappresentato, con 1.852 IP, seguiti da Russia e India, entrambi con 630 indirizzi.
La campagna era stata inizialmente associata a una famiglia ransomware chiamata StopAndProtect. Tuttavia, nella maggior parte degli episodi osservati, gli attaccanti non cifrano subito i dispositivi. Prima enumerano i file disponibili, individuano quelli di interesse e procedono eventualmente con l’esfiltrazione.
Il falso CAPTCHA avvia la catena d’infezione
L’accesso iniziale avviene attraverso una campagna di social engineering basata sul modello ClickFix. Un visitatore raggiunge un sito WordPress compromesso e visualizza un falso CAPTCHA, spesso sovrapposto alla pagina originale.
La procedura invita l’utente a copiare, incollare o eseguire un comando. Non si tratta di una semplice verifica antispam: l’istruzione porta all’esecuzione di PowerShell sul computer della vittima.
La catena tecnica prevede più stadi:
- un downloader .NET iniziale comunica statistiche al server C2 e scarica il componente successivo;
- un secondo downloader/loader .NET esegue controlli anti-sandbox, genera ulteriori log e prepara l’ambiente;
- lo stadio finale carica i moduli operativi, scelti in base agli obiettivi dell’operatore.
L’uso di controlli anti-sandbox può aiutare gli attaccanti a distinguere i sistemi reali dagli ambienti di analisi automatica. La presenza di log dettagliati, invece, consente di seguire l’avanzamento delle infezioni e di gestire le macchine compromesse.
Il falso CAPTCHA è particolarmente insidioso perché sfrutta un comportamento ormai familiare agli utenti. La richiesta di eseguire comandi al di fuori della normale interfaccia del browser dovrebbe però essere considerata un segnale di compromissione o frode.
Sei moduli per spiare, propagarsi e cifrare
Lo stadio operativo di StopAndProtect comprende sei componenti principali, non tutti necessariamente installati su ogni sistema.
SilentEncryptor può cifrare tutti i computer infetti oppure limitare l’azione ai dispositivi con determinati nomi host. Questa selezione permette di colpire obiettivi specifici invece di avviare automaticamente una cifratura indiscriminata.
NetworkShareScanner è un worm capace di propagarsi tramite SMB e supporti USB. Il modulo può quindi estendere l’infezione oltre il primo computer raggiunto.
Una funzione analoga è affidata al VBS spreader, che copia il malware su dischi rigidi e dispositivi rimovibili, analizza la rete e tenta il movimento laterale attraverso WMI.
LockScreen blocca l’input dell’utente e mostra una richiesta di riscatto. Il messaggio include un codice QR destinato a facilitare il pagamento.
La comunicazione tra vittima e operatore può avvenire tramite SimpleChatProxy, un’applicazione di chat personalizzata. In questo modo il gruppo criminale dispone di un canale operativo integrato nell’ecosistema dell’attacco.
Infine, SilentDataCollector crea un elenco delle unità presenti sul sistema, lo cifra e lo invia all’infrastruttura C2. L’operatore può anche caricare un file di comandi, utilizzato dal componente stealer per individuare e raccogliere file specifici.
Keylogging, screenshot e furto da WhatsApp
Le versioni più recenti dello stealer ampliano notevolmente la sorveglianza. Il malware registra la pressione dei tasti, individua indirizzi e-mail validi, raccoglie dati da WhatsApp e può mappare o disconnettere le condivisioni di rete.
Tra le funzioni più invasive c’è l’acquisizione automatica di screenshot ogni 30 secondi. Questo consente di ricostruire l’attività dell’utente anche quando non vengono sottratti direttamente documenti o credenziali.
Il modulo WhatsApp supporta sia la versione Web sia quella desktop. L’operatore può indicare una parola chiave, per esempio il nome di un contatto. Quando la vittima non sta utilizzando attivamente il computer, il malware cerca la parola, apre le informazioni associate al contatto e acquisisce uno screenshot.
Il risultato è una raccolta che può includere conversazioni, documenti, credenziali, schermate di applicazioni aziendali e informazioni utili per ulteriori frodi. La possibilità di usare il movimento laterale tramite SMB, USB e WMI aumenta inoltre il rischio per reti con dispositivi poco segmentati.
Come gli aggressori controllano i siti violati
La compromissione dei siti WordPress non serve soltanto a mostrare il falso CAPTCHA. Gli operatori utilizzano un archivio ZIP che contiene uploader-installer.php, uno script PHP capace di installare un plugin personalizzato.
Il plugin crea un must-use plugin nella directory wp-content/mu-plugins. Questo meccanismo consente al codice di caricarsi automaticamente e rende la persistenza meno visibile rispetto a un normale plugin attivabile dall’interfaccia amministrativa.
Con credenziali valide, gli attaccanti possono caricare file arbitrari, inclusi script PHP, in quasi qualsiasi percorso sotto la root di WordPress. Il caricamento di codice PHP può portare all’esecuzione remota di comandi sul server.
Dopo avere completato le operazioni, il plugin si disattiva e si cancella per ridurre le possibilità di rilevamento. I file caricati possono però rimanere sul sito e includere anche dati esfiltrati dai sistemi delle vittime.
Un secondo componente, denominato verify, sovrappone il contenuto del sito con il CAPTCHA contraffatto. Viene attivato tramite activator.php, che poi si elimina.
La maggior parte dei siti osservati utilizzava versioni obsolete di WordPress o plugin non aggiornati. Un sito analizzato eseguiva una versione di WordPress risalente al 2021 ed era esposto a circa 40 vulnerabilità.
L’esposizione accidentale dei dati ha permesso di osservare anche la macchina amministrativa degli aggressori. Tra metà maggio e la fine di luglio 2026 sono stati identificati oltre 700 archivi contenenti dati rubati, oltre a strumenti interni apparentemente sottratti agli stessi operatori dopo un’infezione accidentale.
Tra questi figura fMain.frm, un’utility usata per amministrare numerosi siti WordPress, caricare o eliminare file, gestire script PHP, attivare il falso CAPTCHA e controllare il caching.
Controlli urgenti per aziende e amministratori
Gli amministratori WordPress dovrebbero aggiornare il CMS, i plugin, i temi e il sistema operativo del server. È necessario controllare in particolare la directory wp-content/mu-plugins, i file uploader-installer.php e activator.php, oltre alla presenza del plugin verify.
Vanno esaminati i log degli accessi, i caricamenti di file PHP, le modifiche ai plugin e le connessioni verso infrastrutture non riconosciute. Anche file cancellati di recente o attività anomale nei percorsi di WordPress possono fornire indizi di compromissione.
Sui sistemi endpoint è opportuno monitorare PowerShell, loader .NET, accessi SMB e USB, utilizzo di WMI, processi di cifratura, blocco dello schermo e attività automatizzata su WhatsApp. Host sospetti devono essere isolati rapidamente dalla rete.
Le credenziali WordPress potenzialmente esposte vanno ruotate, insieme ai token e alle chiavi eventualmente accessibili dal server. È inoltre consigliabile verificare se gli stessi account siano stati riutilizzati su altri servizi.
Gli utenti dovrebbero abbandonare immediatamente le pagine che chiedono di copiare e incollare comandi o di eseguire istruzioni insolite per superare un CAPTCHA. StopAndProtect dimostra che un sito apparentemente legittimo può diventare, senza segnali evidenti per il visitatore, il primo anello di una catena che porta al furto di dati e al ransomware.
Fonti
Questo articolo è una rielaborazione originale basata sulle fonti seguenti.