// TOM'S HARDWARE ITALIA — CYBERSECURITY
StopAndProtect sfrutta 2.000 siti WordPress per diffondere malware
I gestori di StopAndProtect hanno trasformato quasi 2.000 siti WordPress compromessi in un'infrastruttura distribuita per diffondere malware, controllare le infezioni e conservare documenti, schermate e registri sottratti alle vittime. L'operazione, ricostruita da Check Point Research dopo l'individuazione di una famiglia di malware omonima, ha coinvolto più di 6.000 indirizzi IP unici.
La catena di infezione parte da ClickFix, una tecnica di ingegneria sociale che mostra un falso CAPTCHA e convince l'utente a copiare o eseguire istruzioni fuori dal browser. Il comando PowerShell così attivato scarica una sequenza di downloader e loader sviluppati in .NET, incaricati di installare i diversi componenti del toolkit criminale.
L'arsenale comprende ransomware, un worm capace di propagarsi attraverso condivisioni SMB e dispositivi USB, un sistema per bloccare lo schermo, uno script VBS, una chat con gli operatori e un credential stealer. La cifratura dei file, tuttavia, non viene eseguita in ogni attacco: in numerosi casi gli operatori si limitano a catalogare i documenti presenti e a sottrarre quelli selezionati.
I siti utilizzati come nodi della campagna eseguivano spesso versioni obsolete del CMS e dei relativi plugin. Un portale analizzato impiegava una release del 2021, esposta a circa 40 vulnerabilità note. L'abuso di servizi considerati affidabili richiama gli attacchi basati su identità contraffatte e piattaforme legittime, perché riduce i segnali che potrebbero insospettire la vittima prima dell'infezione.
Per mantenere l'accesso, gli aggressori caricano un archivio ZIP contenente il file uploader-installer.php, che installa un plugin must-use nella directory wp-content/mu-plugins. Chi possiede le credenziali corrette può quindi caricare file arbitrari, compresi script PHP, quasi ovunque nella root del sito, aprendo la strada alla remote code execution. Dopo l'installazione, il componente iniziale si disattiva e si cancella per ostacolare il rilevamento.
Le versioni più recenti dello stealer aggiungono un keylogger, la gestione delle condivisioni di rete e schermate catturate ogni 30 secondi. Il malware può anche automatizzare ricerche in WhatsApp, sia nella versione web sia in quella desktop, aprire la scheda di un contatto e fotografarne le informazioni. Tra metà maggio e fine luglio sono stati individuati oltre 700 archivi rubati, mentre il bilancio ha superato 6.000 indirizzi IP, concentrati soprattutto negli Stati Uniti, in Russia e in India.
Gli errori operativi degli stessi criminali hanno esposto registri dettagliati, schermate delle macchine infette e uno strumento personalizzato per amministrare in massa i siti violati. Per ridurre il rischio occorre aggiornare CMS e plugin, rimuovere estensioni inutilizzate e abbandonare immediatamente qualsiasi pagina che chieda di copiare comandi, aprire terminali o svolgere operazioni estranee al browser.
Aggiungi Tom's Hardware alle tue fonti preferite su Google