I criminali informatici hanno utilizzato quasi 2,000 account compromessi WordPress siti web utilizzati per distribuire malware, controllare computer infetti e archiviare informazioni rubate. La scoperta dimostra come un sito web obsoleto possa diventare parte di un'operazione criminale molto più ampia senza che il suo proprietario se ne renda conto.
Check Point Research ha reso pubblica l'operazione, denominata StopAndProtect, il 18 agosto 2026. La campagna combinava ransomware, furto di credenziali, esfiltrazione di file, blocco dello schermo e diversi metodi per diffondersi tra i computer.
Migliori WordPress I siti non erano necessariamente gli obiettivi finali della campagna. Gli aggressori li hanno riutilizzati come infrastrutture per raggiungere e controllare altre vittime.
Che cosa ha scoperto Check Point?
Check Point ha incontrato per la prima volta la famiglia di ransomware StopAndProtect nel maggio 2026. Ulteriori indagini hanno dimostrato che il ransomware costituiva solo una parte di un più ampio insieme di malware.
L'operazione è iniziata con un CAPTCHA fasullo, utilizzando una tecnica di ingegneria sociale nota come ClickFix. Ai visitatori veniva chiesto di copiare o eseguire un comando PowerShell, credendo di star completando una procedura di verifica.
L'esecuzione del comando ha scaricato diverse fasi del malware. Questi componenti potevano crittografare file, rubare credenziali e documenti, diffondersi tramite dispositivi USB o condivisione file di Windows, bloccare lo schermo della vittima e aprire un canale di chat tra l'aggressore e la vittima. Check Point ha raccolto circa 31,000 screenshot da directory esposte tra metà maggio e fine luglio. I ricercatori hanno anche trovato più di 700 archivi contenenti dati sottratti da computer infetti.
Gli errori operativi della campagna stessa ne hanno rivelato la portata. I file recuperati dall'infrastruttura contenevano liste che si avvicinavano a 2,000 compromesse WordPress domini e codice sorgente degli strumenti utilizzati per gestire in blocco tali siti. Check Point ha descritto gli elenchi come un'indicazione delle dimensioni dell'operazione, piuttosto che un conteggio completo di ogni sito compromesso attivo.
Leggi qui la ricerca di Check Point.
Come sono stati i WordPress Siti web utilizzati?
Il compromesso WordPress I siti distribuivano stadi di malware, trasmettevano comandi ai computer infetti e memorizzavano registri delle attività e file rubati. Questa struttura distribuita offriva agli aggressori numerosi domini separati da cui operare.
Check Point ha inoltre recuperato un programma di installazione per un programma dannoso must-use WordPress plugin. I plugin must-use si caricano automaticamente e non compaiono nell'elenco dei plugin standard.
Il plugin dannoso ha creato un endpoint API REST nascosto con credenziali hardcoded. Un utente malintenzionato che conoscesse tali credenziali potrebbe caricare file, inclusi file eseguibili. PHP file, nel WordPress installazione. Il programma di installazione si è quindi disattivato e cancellato automaticamente per rendere più difficile notare la modifica.
Un sito compromesso esaminato da Check Point ha eseguito un WordPress versione risalente al 2021. I ricercatori hanno identificato quasi 40 potenziali vulnerabilità che coinvolgono software obsoleto, certificati scaduti, SQL injection, bypass dell'autenticazione, caricamento di file e altre debolezze.
Questo singolo esempio non dimostra che ogni sito dell'operazione sia stato compromesso tramite la stessa vulnerabilità. Mostra però come diversi anni di manutenzione trascurata possano lasciare aperti molteplici punti di accesso.
Potrebbe risolvere WordPress L'hosting ha impedito tutto ciò?
A gestito WordPress host può ridurre il rischio, ma nessun piano di hosting può eliminarlo completamente. WordPress La sicurezza dipende dall'host, dall'applicazione, dai plugin installati, dalle credenziali dell'account e dalle pratiche di manutenzione del proprietario del sito.
Automatico WordPress Gli aggiornamenti possono chiudere le vulnerabilità principali note. Il monitoraggio delle vulnerabilità dei plugin può identificare estensioni obsolete o abbandonate. Un firewall per applicazioni web filtra le richieste sospette prima che raggiungano WordPress, mentre la scansione antimalware controlla i file alla ricerca di codice noto o insolito.
La protezione in fase di esecuzione aggiunge un ulteriore livello monitorando ciò che PHP Il codice tenta di fare ciò durante l'esecuzione. L'isolamento dell'account può anche limitare la portata delle azioni di un attaccante quando un sito web su un server condiviso viene compromesso.
Questi controlli funzionano solo entro il loro ambito definito. Un firewall potrebbe non rilevare richieste apparentemente valide che sfruttano una nuova vulnerabilità. Anche uno scanner antimalware potrebbe non riconoscere un payload nuovo o pesantemente modificato. I backup aiutano a ripristinare un sito web, ma un backup creato dopo la compromissione potrebbe già contenere file dannosi.
Cosa dovrebbe WordPress Proprietari del sito, verifica?
WordPress I proprietari del sito dovrebbero aggiornare WordPress Prima di iniziare, rimuovi il core, i plugin e i temi, poi elimina le estensioni che non utilizzi più. Un plugin inattivo ma vulnerabile può comunque rappresentare un rischio per la sicurezza se i suoi file rimangono sul server.
Gli amministratori del sito dovrebbero inoltre rivedere gli account utente, ruotare le password, abilitare l'autenticazione a due fattori e controllare la directory wp-content/mu-plugins per individuare file sconosciuti. I log di sicurezza potrebbero rivelare la creazione inattesa di account amministratore, caricamenti di file, attività API REST o modifiche ai plugin di caching.
I backup offsite dovrebbero archiviare copie integre al di fuori dell'account di hosting. I proprietari dei siti web devono inoltre testare il processo di ripristino anziché dare per scontato che un backup disponibile sia utilizzabile.
La campagna StopAndProtect non significa WordPress di per sé è intrinsecamente pericoloso. Dimostra che un sistema non manutenuto WordPress L'installazione può diventare un'infrastruttura per attacchi contro persone ben oltre il sito web originale.
