Cyberkriminelle nutzten fast 2,000 kompromittierte Systeme. WordPress Websites, die zur Verbreitung von Schadsoftware, zur Kontrolle infizierter Computer und zur Speicherung gestohlener Daten genutzt werden. Die Entdeckung zeigt, wie eine veraltete Website Teil einer viel größeren kriminellen Organisation werden kann, ohne dass ihr Betreiber es bemerkt.
Check Point Research enthüllte die Operation mit dem Namen StopAndProtect am 18. August 2026. Die Kampagne kombinierte Ransomware, Diebstahl von Zugangsdaten, Dateiexfiltration, Bildschirmsperrung und verschiedene Methoden zur Verbreitung zwischen Computern.
Das WordPress Die Websites waren nicht unbedingt die endgültigen Ziele der Kampagne. Die Angreifer nutzten sie als Infrastruktur, um weitere Opfer zu erreichen und zu kontrollieren.
Was hat Check Point entdeckt?
Check Point stieß im Mai 2026 erstmals auf die StopAndProtect-Ransomware-Familie. Weitere Untersuchungen ergaben, dass die Ransomware nur einen Teil eines umfassenderen Malware-Toolkits darstellte.
Die Operation begann mit einem gefälschten CAPTCHA, das mithilfe einer Social-Engineering-Methode namens ClickFix eingesetzt wurde. Besucher wurden angewiesen, einen PowerShell-Befehl zu kopieren oder auszuführen, unter dem Vorwand, einen Verifizierungsschritt durchzuführen.
Durch die Ausführung des Befehls wurden mehrere Malware-Stufen heruntergeladen. Diese Komponenten konnten Dateien verschlüsseln, Zugangsdaten und Dokumente stehlen, sich über USB-Geräte oder die Windows-Dateifreigabe verbreiten, den Bildschirm des Opfers sperren und einen Chat zwischen Angreifer und Opfer öffnen. Check Point sammelte zwischen Mitte Mai und Ende Juli rund 31,000 Screenshots aus offengelegten Verzeichnissen. Die Forscher fanden außerdem über 700 Archive mit Daten von infizierten Computern.
Die operativen Fehler der Kampagne selbst offenbarten ihr Ausmaß. Aus der Infrastruktur geborgene Dateien enthielten Listen mit fast 2,000 kompromittierten Datensätzen. WordPress Domains und Quellcode für Tools, die zur Massenverwaltung dieser Websites verwendet werden. Check Point beschrieb die Listen als Indikator für den Umfang der Operation und nicht als vollständige Zählung aller aktiven kompromittierten Websites.
Lesen Sie hier die Studie von Check Point.
Wie waren die WordPress Welche Websites wurden verwendet?
Die Kompromittierten WordPress Die Websites verteilten Malware-Stufen, übermittelten Befehle an infizierte Computer und speicherten Aktivitätsprotokolle und gestohlene Dateien. Diese verteilte Struktur ermöglichte es den Angreifern, von vielen separaten Domänen aus zu operieren.
Check Point hat außerdem ein Installationsprogramm für eine bösartige, unbedingt nutzbare Anwendung wiederhergestellt. WordPress Plugin. Must-Use-Plugins werden automatisch geladen und erscheinen nicht in der normalen Plugin-Liste wie Standard-Plugins.
Das schädliche Plugin erstellte einen versteckten REST-API-Endpunkt mit fest codierten Zugangsdaten. Ein Angreifer, der diese Zugangsdaten kannte, konnte Dateien, einschließlich ausführbarer Dateien, hochladen. PHP Dateien, in die WordPress Nach der Installation deaktivierte sich das Installationsprogramm und löschte sich selbst, um die Änderung schwerer erkennbar zu machen.
Eine von Check Point untersuchte kompromittierte Website lief auf einem WordPress Die Forscher identifizierten in einer Version aus dem Jahr 2021 fast 40 potenzielle Schwachstellen, darunter veraltete Software, abgelaufene Zertifikate, SQL-Injection, Umgehung der Authentifizierung, Datei-Uploads und andere Sicherheitslücken.
Dieses einzelne Beispiel beweist nicht, dass alle Standorte des Unternehmens durch dieselbe Sicherheitslücke kompromittiert wurden. Es zeigt aber, wie jahrelange unterlassene Wartung zahlreiche potenzielle Angriffspunkte offenlassen kann.
Könnte besser sein WordPress Hat das Hosting dies verhindert?
A verwaltet WordPress Gastgeber Das Risiko lässt sich zwar verringern, aber kein Hosting-Paket kann es vollständig ausschließen. WordPress Die Sicherheit hängt vom Host, der Anwendung, den installierten Plugins, den Zugangsdaten und den Wartungspraktiken des Website-Betreibers ab.
automatische WordPress Updates können bekannte Kernsicherheitslücken schließen. Die Überwachung von Plugin-Schwachstellen kann veraltete oder nicht mehr verwendete Erweiterungen identifizieren. Eine Web Application Firewall filtert verdächtige Anfragen, bevor diese ihr Ziel erreichen. WordPressBeim Malware-Scan werden Dateien auf bekannten oder ungewöhnlichen Code überprüft.
Der Laufzeitschutz fügt eine weitere Ebene hinzu, indem er überwacht, was PHP Code versucht während der Ausführung etwas zu tun. Die Kontoisolierung kann auch die Reichweite eines Angreifers einschränken, wenn eine Website auf einem gemeinsam genutzten Server kompromittiert wird.
Diese Kontrollmechanismen funktionieren nur innerhalb ihres definierten Anwendungsbereichs. Eine Firewall kann scheinbar legitime Anfragen übersehen, die eine neue Sicherheitslücke ausnutzen. Auch ein Malware-Scanner erkennt möglicherweise eine neue oder stark veränderte Schadsoftware nicht. Backups helfen zwar bei der Wiederherstellung einer Website, aber ein nach dem Angriff erstelltes Backup kann bereits schädliche Dateien enthalten.
Was sollte WordPress Website-Betreiber prüfen?
WordPress Website-Betreiber sollten aktualisieren WordPress Entfernen Sie zunächst die Kernkomponenten, Plugins und Themes und anschließend nicht mehr benötigte Erweiterungen. Ein inaktives, aber anfälliges Plugin kann weiterhin ein Sicherheitsrisiko darstellen, solange seine Dateien auf dem Server verbleiben.
Website-Administratoren sollten außerdem Benutzerkonten überprüfen, Passwörter regelmäßig ändern, die Zwei-Faktor-Authentifizierung aktivieren und das Verzeichnis wp-content/mu-plugins auf unbekannte Dateien prüfen. Sicherheitsprotokolle können unerwartete Administratorkonten, Datei-Uploads, Aktivitäten der REST-API oder Änderungen an Caching-Plugins aufdecken.
Externe Backups sollten saubere Kopien außerhalb des Hosting-Kontos speichern. Website-Betreiber sollten außerdem den Wiederherstellungsprozess testen, anstatt davon auszugehen, dass ein verfügbares Backup verwendbar ist.
Die StopAndProtect-Kampagne bedeutet nicht WordPress An sich ist es von Natur aus unsicher. Es zeigt, dass ein nicht gewartetes WordPress Die Installation kann zu einer Infrastruktur für Angriffe auf Personen weit jenseits der ursprünglichen Website werden.
