Un'operazione cybercriminale globale, denominata StopAndProtect, sfrutta quasi 2.000 siti WordPress compromessi per distribuire malware, rubare dati sensibili e gestire una rete di dispositivi infetti, colpendo soprattutto Stati Uniti, Russia e India.
Un'indagine di Check Point Research ha portato alla luce una vasta campagna cybercriminale internazionale, denominata StopAndProtect, che utilizza quasi 2.000 siti WordPress violati come infrastruttura per diffondere malware, sottrarre dati e controllare dispositivi compromessi. Gli attaccanti sfruttano siti con versioni obsolete di WordPress e plugin non aggiornati, rendendoli vulnerabili a decine di falle di sicurezza.
Come funziona la catena di infezione
L'attacco inizia con una truffa di social engineering chiamata ClickFix, che induce le vittime a eseguire un comando PowerShell. Questo comando scarica una serie di downloader e loader .NET, che a loro volta installano diversi componenti malevoli: ransomware, worm SMB/USB, utility di chat, stealer di credenziali e strumenti per bloccare lo schermo o cifrare i file. Non sempre viene attivato il ransomware: spesso gli attaccanti si limitano a rubare elenchi di file e documenti specifici dai sistemi infetti.
I siti WordPress compromessi come base operativa
I siti WordPress violati svolgono molteplici funzioni: ospitano i file malevoli, fungono da server di comando e controllo (C2) per inviare istruzioni ai malware e conservano i log delle attività e i dati esfiltrati dalle vittime. Gli operatori della campagna hanno commesso errori di sicurezza che hanno permesso ai ricercatori di accedere a dettagliati log di infezione, screenshot dei dispositivi colpiti e strumenti di gestione automatizzata dei siti compromessi.
Strumenti e tecniche di attacco
Tra le tecniche usate, spicca l'installazione di plugin WordPress personalizzati tramite archivi ZIP contenenti file PHP, che consentono l'upload arbitrario di file e l'esecuzione di codice remoto. Questi plugin si autodisattivano e si cancellano dopo l'uso per evitare di essere scoperti. I siti infetti mostrano ai visitatori CAPTCHA falsi in stile ClickFix, che inducono gli utenti a eseguire azioni pericolose. Dal maggio al luglio 2026 sono stati identificati oltre 700 archivi di dati rubati caricati su questi server.
Impatto globale e raccomandazioni
Secondo Check Point, la campagna ha già compromesso più di 6.000 indirizzi IP unici, con la maggior parte delle vittime negli Stati Uniti, Russia e India. Gli esperti sottolineano come StopAndProtect dimostri la pericolosità di una rete criminale distribuita basata su siti WordPress trascurati. Si raccomanda alle organizzazioni di diffidare di CAPTCHA sospetti che richiedono di eseguire comandi, mantenere aggiornati sistemi e software di sicurezza e abbandonare immediatamente i siti che chiedono azioni insolite fuori dal browser.
