WordPress rubati diventano l’infrastruttura di StopAndProtect
Check Point ha collegato StopAndProtect a una campagna più ampia che passa da migliaia di domini WordPress compromessi e non si ferma al ransomware. Il punto non è solo cifrare: la stessa operazione usa siti rubati per ospitare le fasi del malware, inoltrare comandi e conservare i log sottratti dalle vittime, con una visibilità molto più ampia di quella che offre un attacco a colpo singolo.
La catena parte da un falso prompt ClickFix che spinge la vittima a eseguire un comando PowerShell. Da lì arrivano loader e componenti .NET, poi i moduli per ransomware, worm e stealer; in molti casi però gli operatori scelgono di esfiltrare in silenzio elenchi di file e poi file selezionati, raccogliendo telemetria lungo tutto il percorso per capire cosa c’è sull’host e cosa conviene sottrarre.
Per chi gestisce WordPress, il rischio non è solo avere un sito compromesso. La stessa installazione può diventare un punto di distribuzione, di comando e di raccolta per una campagna che mantiene persistenza e osservazione a lungo, anche quando la cifratura non scatta affatto.