Para penjahat siber menggunakan hampir 2,000 sistem yang telah diretas. WordPress Situs web digunakan untuk mendistribusikan malware, mengendalikan komputer yang terinfeksi, dan menyimpan informasi curian. Penemuan ini menunjukkan bagaimana situs web yang sudah usang dapat menjadi bagian dari operasi kriminal yang jauh lebih besar tanpa disadari oleh pemiliknya.
Check Point Research mengungkap operasi yang diberi nama StopAndProtect pada tanggal 18 Agustus 2026. Kampanye ini menggabungkan ransomware, pencurian kredensial, eksfiltrasi file, penguncian layar, dan beberapa metode penyebaran antar komputer.
The WordPress Situs-situs tersebut belum tentu menjadi target akhir kampanye. Para penyerang menggunakan kembali situs-situs tersebut sebagai infrastruktur untuk menjangkau dan mengendalikan korban lain.
Apa yang Ditemukan Check Point?
Check Point pertama kali menemukan keluarga ransomware StopAndProtect pada Mei 2026. Investigasi lebih lanjut menunjukkan bahwa ransomware tersebut hanya merupakan bagian dari perangkat lunak berbahaya yang lebih luas.
Operasi dimulai dengan CAPTCHA palsu menggunakan metode rekayasa sosial yang dikenal sebagai ClickFix. Pengunjung diinstruksikan untuk menyalin atau menjalankan perintah PowerShell dengan kesan bahwa mereka sedang menyelesaikan langkah verifikasi.
Menjalankan perintah tersebut mengunduh beberapa tahapan malware. Komponen-komponen ini dapat mengenkripsi file, mencuri kredensial dan dokumen, menyebar melalui perangkat USB atau berbagi file Windows, mengunci layar korban, dan membuka saluran obrolan antara penyerang dan korban. Check Point mengumpulkan sekitar 31,000 tangkapan layar dari direktori yang terekspos antara pertengahan Mei dan akhir Juli. Para peneliti juga menemukan lebih dari 700 arsip yang berisi data yang diambil dari komputer yang terinfeksi.
Kesalahan operasional kampanye itu sendiri mengungkap skala sebenarnya. File yang dipulihkan dari infrastruktur berisi daftar yang mendekati 2,000 orang yang telah diretas. WordPress Daftar tersebut berisi domain dan kode sumber untuk alat yang digunakan untuk mengelola situs-situs tersebut secara massal. Check Point menggambarkan daftar tersebut sebagai indikasi ukuran operasi, bukan sebagai hitungan lengkap dari setiap situs yang aktif dan telah disusupi.
Baca hasil penelitian Check Point di sini.
Bagaimana kabarnya? WordPress Situs yang Digunakan?
Yang terkompromi WordPress Situs-situs tersebut mendistribusikan tahapan malware, meneruskan perintah ke komputer yang terinfeksi, dan menyimpan log aktivitas serta file yang dicuri. Struktur terdistribusi ini memberi penyerang banyak domain terpisah untuk beroperasi.
Check Point juga berhasil memulihkan sebuah installer untuk aplikasi wajib pakai yang berbahaya. WordPress Plugin. Plugin yang wajib digunakan akan dimuat secara otomatis dan tidak muncul dalam daftar plugin biasa seperti plugin standar.
Plugin berbahaya tersebut membuat titik akhir API REST tersembunyi dengan kredensial yang telah ditentukan sebelumnya. Penyerang yang mengetahui kredensial tersebut dapat mengunggah file, termasuk file yang dapat dieksekusi. PHP berkas, ke dalam WordPress instalasi. Kemudian, program instalasi tersebut menonaktifkan dan menghapus dirinya sendiri agar perubahan tersebut lebih sulit dikenali.
Salah satu situs yang diretas yang diperiksa oleh Check Point menjalankan sebuah WordPress Versi yang berasal dari tahun 2021. Para peneliti mengidentifikasi hampir 40 potensi kerentanan yang melibatkan perangkat lunak usang, sertifikat kedaluwarsa, injeksi SQL, bypass otentikasi, unggahan file, dan kelemahan lainnya.
Contoh tunggal ini tidak membuktikan bahwa setiap situs dalam operasi tersebut diretas melalui kerentanan yang sama. Namun, ini menunjukkan bagaimana kelalaian pemeliharaan selama beberapa tahun dapat meninggalkan banyak titik masuk yang memungkinkan.
Bisa Lebih Baik WordPress Apakah penyedia hosting telah mencegah hal ini?
A berhasil WordPress tuan rumah Dapat mengurangi risiko, tetapi tidak ada paket hosting yang dapat menghilangkannya sepenuhnya. WordPress Keamanan bergantung pada penyedia hosting, aplikasi, plugin yang terpasang, kredensial akun, dan praktik pemeliharaan pemilik situs.
secara otomatis WordPress Pembaruan dapat menutup kerentanan inti yang diketahui. Pemantauan kerentanan plugin dapat mengidentifikasi ekstensi yang sudah usang atau ditinggalkan. Firewall aplikasi web menyaring permintaan mencurigakan sebelum mencapai tujuan. WordPressSementara itu, pemindaian malware memeriksa file untuk kode yang dikenal atau tidak biasa.
Perlindungan saat runtime menambahkan lapisan lain dengan memantau apa yang terjadi. PHP Kode tersebut mencoba melakukan sesuatu selama eksekusi. Isolasi akun juga dapat membatasi seberapa jauh penyerang dapat bergerak ketika satu situs web di server bersama disusupi.
Kontrol-kontrol ini hanya berfungsi dalam lingkup yang telah ditentukan. Firewall mungkin melewatkan permintaan yang tampak valid namun mengeksploitasi kerentanan baru. Pemindai malware juga mungkin gagal mengenali muatan (payload) baru atau yang telah dimodifikasi secara signifikan. Cadangan (backup) membantu memulihkan situs web, tetapi cadangan yang dibuat setelah peretasan mungkin sudah berisi file berbahaya.
Apa seharusnya WordPress Apakah pemilik situs sudah memeriksanya?
WordPress Pemilik situs harus memperbarui WordPress Periksa inti sistem, plugin, dan tema, lalu hapus ekstensi yang tidak lagi digunakan. Plugin yang tidak aktif tetapi rentan dapat tetap menjadi risiko keamanan jika file-nya tetap berada di server.
Administrator situs juga harus meninjau akun pengguna, mengganti kata sandi secara berkala, mengaktifkan otentikasi dua faktor, dan memeriksa direktori wp-content/mu-plugins untuk file yang tidak dikenal. Log keamanan dapat mengungkapkan pembuatan administrator yang tidak terduga, unggahan file, aktivitas REST API, atau perubahan pada plugin caching.
Backup di luar lokasi harus menyimpan salinan bersih di luar akun hosting. Pemilik situs web juga perlu menguji proses pemulihan daripada berasumsi bahwa backup yang tersedia dapat langsung digunakan.
Kampanye StopAndProtect tidak berarti WordPress dengan sendirinya tidak aman. Ini menunjukkan bahwa jika tidak dirawat WordPress Instalasi tersebut dapat menjadi infrastruktur untuk serangan terhadap orang-orang yang jauh melampaui situs web aslinya.
