Pesquisadores de cibersegurança identificaram uma operação global de cibercrime que explora milhares de sites WordPress invadidos como infraestrutura para disseminar malware, controlar máquinas infectadas e armazenar documentos roubados, capturas de tela e registros de atividade usados para acompanhar o andamento da campanha.
“A operação não depende de um único malware, mas de um conjunto inteiro de softwares criminosos trabalhando em conjunto. Alguns componentes criptografam arquivos, outros roubam documentos em silêncio ou bloqueiam a tela, e outro funciona como um chat ao vivo entre os invasores e suas vítimas”, afirmou Jaromír Hořejší, da Check Point Research.
A campanha em larga escala vem sendo monitorada pela empresa sob o nome StopAndProtect desde meados de maio de 2026, quando foi descoberta uma família de ransomware com o mesmo nome. A cadeia de infecção começa com um ataque de engenharia social do tipo ClickFix, que leva à execução de um comando do PowerShell e, em seguida, à instalação de novos downloaders e loaders em .NET.
A partir daí, entram em cena os principais componentes, incluindo ransomware, worm SMB/USB, LockScreen, espalhador em VBS, utilitário de chat e coletor de credenciais. Ainda assim, nem sempre a operação resulta no deploy de ransomware. Na maior parte dos casos, os threat actors foram observados roubando discretamente listas de arquivos e, depois, arquivos específicos dos sistemas.
A operação é sustentada por um cluster de sites WordPress invadidos que desempenham várias funções:
- hospedar estágios de malware;
- atuar como servidores de comando e controle (C2) para enviar instruções;
- armazenar logs exfiltrados das vítimas.
A Check Point disse ter conseguido reunir mais detalhes sobre a campanha devido a falhas de segurança operacional dos threat actors, que expuseram logs detalhados de infecção e capturas de tela das máquinas das vítimas, além das ferramentas usadas para gerenciar em massa os sites comprometidos. Estima-se que cerca de 2.000 sites WordPress tenham sido invadidos como parte da operação.
A maioria desses sites não só executava versões desatualizadas do WordPress, como também plugins instalados. Um dos sites comprometidos, por exemplo, rodava uma versão de 2021 do WordPress, o que o tornava suscetível a cerca de 40 vulnerabilidades diferentes.
Esses sites são adulterados para exibir a visitantes prompts falsos de CAPTCHA no estilo ClickFix, infectando-os no próprio processo. O comando do PowerShell acionado por esse método funciona como porta de entrada para um processo em várias etapas:
- um downloader em .NET de estágio 1, que envia estatísticas ao servidor C2 e carrega a próxima etapa;
- um downloader e loader em .NET de estágio 2, que incorpora verificações de sandbox, mais mecanismos de registro e aciona os principais componentes;
- um estágio 3 com seis componentes:
- SilentEncryptor, que criptografa todos os computadores já infectados ou apenas máquinas com nomes de host específicos;
- NetworkShareScanner, que funciona como um worm SMB/USB para se espalhar para outros dispositivos;
- espalhador em VBS, que propaga o malware para discos rígidos e mídias removíveis, faz varredura na rede e realiza movimentação lateral via WMI;
- LockScreen, que bloqueia a entrada do usuário e exibe uma mensagem de resgate com um QR code de pagamento;
- SimpleChatProxy, um aplicativo de chat personalizado para comunicação entre a vítima e o operador;
- SilentDataCollector, que gera uma lista de todas as unidades, criptografa esse conteúdo e o exfiltra para o servidor C2. O operador pode enviar um arquivo de comando ao servidor, que é lido pelo stealer para coletar arquivos específicos.
Versões mais recentes do stealer também passaram a incorporar funções extras, incluindo keylogger com detecção de endereços de e-mail válidos, exfiltração a partir do WhatsApp, mapeamento e desmontagem de compartilhamentos de rede e captura de telas da atividade do usuário a cada 30 segundos.
“Um operador pode informar uma palavra-chave para busca no WhatsApp, com suporte às versões web e desktop”, disse a Check Point. “O stealer espera até que a vítima fique inativa e então usa automação do WhatsApp para focar a caixa de pesquisa, inserir a palavra-chave especificada, que corresponde ao nome do contato, abrir as informações do contato e capturar uma captura de tela.”
Investigações adicionais mostram que os threat actors usam um arquivo ZIP contendo um arquivo PHP chamado “uploader-installer.php” para instalar um plugin personalizado do WordPress, usado para criar um arquivo de plugin must-use (MU) no diretório “wp-content/mu-plugins”.
Esse plugin permite que qualquer pessoa com credenciais válidas envie arquivos arbitrários, inclusive arquivos PHP, para o site WordPress em praticamente qualquer caminho sob a raiz do WordPress. O envio de arquivos PHP pode abrir caminho para execução remota de código. Depois que o site é manipulado, o plugin se desativa e se apaga para evitar detecção.
Entre os arquivos enviados estão dados roubados de máquinas de vítimas, com mais de 700 arquivos compactados identificados entre meados de maio e o fim de julho de 2026. Entre eles há arquivos e ferramentas internas de desenvolvimento, o que sugere que o próprio operador acabou se infectando sem querer. Isso inclui um utilitário de automação personalizado chamado “fMain.frm”, usado para gerenciar sites WordPress comprometidos.
“Essa ferramenta de automação permite que o operador da botnet gerencie em massa páginas WordPress comprometidas”, disse a Check Point. “Ela usa scripts PHP seguros de upload e exclusão em sites comprometidos para enviar ou remover arquivos adicionais, ativar ou desativar o falso CAPTCHA do ClickFix, ativar ou desativar o cache e assim por diante.”
Os sites comprometidos contêm um plugin malicioso chamado “verify”, que sobrepõe o conteúdo original com um falso CAPTCHA para visitantes que não usam Windows. O plugin é ativado depois que o threat actor envia um arquivo chamado “activator.php” e, em seguida, se apaga.
Em 24 de julho de 2026, a campanha já havia comprometido mais de 6.000 endereços IP únicos. A maior parte deles estava nos Estados Unidos, com 1.852, seguidos por Rússia e Índia, ambos com 630.
“O StopAndProtect mostra como invasores podem transformar milhares de sites WordPress mal mantidos em uma infraestrutura criminosa distribuída para entrega de malware, vigilância, roubo de dados e ransomware”, afirmou Eli Smadja, da Check Point.
“Recomendamos que organizações desconfiem de prompts de CAPTCHA inesperados que instruem o usuário a copiar, colar ou executar comandos, mantenham dispositivos e softwares de segurança atualizados e abandonem imediatamente qualquer site que peça etapas incomuns fora do navegador.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...