Criminosos cibernéticos usaram cerca de 2,000 sistemas comprometidos. WordPress A descoberta mostra como um site desatualizado pode se tornar parte de uma operação criminosa muito maior sem que seu proprietário perceba.
A Check Point Research divulgou a operação, denominada StopAndProtect, em 18 de agosto de 2026. A campanha combinava ransomware, roubo de credenciais, exfiltração de arquivos, bloqueio de tela e diversos métodos de propagação entre computadores.
O WordPress Os sites não eram necessariamente os alvos finais da campanha. Os atacantes os reutilizaram como infraestrutura para alcançar e controlar outras vítimas.
O que a Check Point descobriu?
A Check Point teve seu primeiro contato com a família de ransomware StopAndProtect em maio de 2026. Investigações posteriores mostraram que o ransomware era apenas uma parte de um conjunto de ferramentas de malware mais amplo.
A operação começou com um CAPTCHA falso, utilizando um método de engenharia social conhecido como ClickFix. Os visitantes eram instruídos a copiar ou executar um comando do PowerShell, acreditando que estavam concluindo uma etapa de verificação.
A execução do comando baixou vários estágios do malware. Esses componentes podiam criptografar arquivos, roubar credenciais e documentos, se espalhar por meio de dispositivos USB ou compartilhamento de arquivos do Windows, bloquear a tela da vítima e abrir um canal de bate-papo entre o invasor e a vítima. A Check Point coletou aproximadamente 31,000 capturas de tela de diretórios expostos entre meados de maio e o final de julho. Os pesquisadores também encontraram mais de 700 arquivos compactados contendo dados extraídos de computadores infectados.
Os próprios erros operacionais da campanha expuseram sua dimensão. Os arquivos recuperados da infraestrutura continham listas com quase 2,000 itens comprometidos. WordPress Domínios e código-fonte de ferramentas usadas para gerenciar esses sites em massa. A Check Point descreveu as listas como uma indicação do tamanho da operação, e não como uma contagem completa de todos os sites comprometidos ativos.
Leia os resultados da pesquisa da Check Point aqui.
Como eram os WordPress Sites utilizados?
Os comprometidos WordPress Os sites distribuíam estágios de malware, enviavam comandos para computadores infectados e armazenavam registros de atividades e arquivos roubados. Essa estrutura distribuída proporcionava aos atacantes muitos domínios distintos a partir dos quais podiam operar.
A Check Point também recuperou um instalador para um programa malicioso que exigia uso obrigatório. WordPress Plugin obrigatório. Os plugins de uso obrigatório são carregados automaticamente e não aparecem na lista normal de plugins da mesma forma que os plugins padrão.
O plugin malicioso criou um endpoint de API REST oculto com credenciais embutidas no código. Um atacante que conhecesse essas credenciais poderia fazer upload de arquivos, incluindo executáveis. PHP arquivos, para o WordPress instalação. O instalador então se desativou e se excluiu para tornar a alteração mais difícil de perceber.
Um dos sites comprometidos examinados pela Check Point executava um WordPress versão datada de 2021. Os pesquisadores identificaram quase 40 vulnerabilidades potenciais envolvendo software desatualizado, certificados expirados, injeção de SQL, bypass de autenticação, uploads de arquivos e outras fragilidades.
Este exemplo isolado não prova que todos os sites da operação foram comprometidos pela mesma vulnerabilidade. Ele demonstra como vários anos de manutenção negligenciada podem deixar múltiplos pontos de entrada vulneráveis.
Poderia ser melhor WordPress Será que a hospedagem impediu isso?
A gerenciados WordPress hospedeiro Pode reduzir o risco, mas nenhum plano de hospedagem pode eliminá-lo completamente. WordPress A segurança depende do host, da aplicação, dos plugins instalados, das credenciais da conta e das práticas de manutenção do proprietário do site.
Automático WordPress As atualizações podem corrigir vulnerabilidades conhecidas no núcleo do sistema. O monitoramento de vulnerabilidades de plugins pode identificar extensões desatualizadas ou abandonadas. Um firewall de aplicativos web filtra solicitações suspeitas antes que elas cheguem ao servidor. WordPress, enquanto a verificação de malware examina os arquivos em busca de códigos conhecidos ou incomuns.
A proteção em tempo de execução adiciona outra camada, monitorando o que está acontecendo. PHP O código tenta executar ações durante a execução. O isolamento de contas também pode limitar o alcance de um invasor quando um site em um servidor compartilhado é comprometido.
Esses controles funcionam apenas dentro do escopo definido. Um firewall pode ignorar solicitações aparentemente legítimas que exploram uma nova vulnerabilidade. Um scanner de malware também pode não reconhecer uma carga útil nova ou muito modificada. Os backups ajudam a restaurar um site, mas um backup criado após a invasão pode já conter arquivos maliciosos.
O que deveria WordPress Verificação para proprietários de sites?
WordPress Os proprietários do site devem atualizar WordPress Instale o núcleo do sistema, os plugins e os temas, e remova as extensões que não são mais utilizadas. Um plugin inativo, mas vulnerável, pode continuar representando um risco de segurança se seus arquivos permanecerem no servidor.
Os administradores do site também devem revisar as contas de usuário, alternar as senhas, habilitar a autenticação de dois fatores e verificar o diretório wp-content/mu-plugins em busca de arquivos desconhecidos. Os registros de segurança podem revelar a criação inesperada de contas de administrador, uploads de arquivos, atividades na API REST ou alterações em plugins de cache.
Os backups externos devem armazenar cópias íntegras fora da conta de hospedagem. Os proprietários de sites também precisam testar o processo de restauração em vez de presumir que um backup disponível seja utilizável.
A campanha StopAndProtect não significa WordPress em si é inerentemente inseguro. Isso mostra que uma instalação sem manutenção WordPress A instalação pode se tornar infraestrutura para ataques contra pessoas muito além do site original.
