Operação StopAndProtect usa 2.000 sites WordPress hackeados para espalhar malware

Resumo

• A operação usa um conjunto de ferramentas de malware, incluindo ransomware, worms, bloqueio de tela e ladrões de credenciais, em vez de um único tipo de malware.

  A diversidade de componentes indica uma infraestrutura complexa e madura, capaz de ataques variados.

• O ataque começa com uma técnica de engenharia social chamada ClickFix, que induz a vítima a executar um comando PowerShell.

  O ClickFix explora a confiança do usuário em CAPTCHAs para executar comandos maliciosos, destacando a importância da educação do usuário.

• A operação nem sempre implanta ransomware; em muitos casos, os invasores roubam silenciosamente dados e listas de arquivos.

  A ênfase no roubo de dados em vez de ransomware permite que os atacantes operem de forma discreta e prolongada.

• A operação criminosa StopAndProtect usa cerca de 2.000 sites WordPress hackeados como infraestrutura para distribuir malware, controlar máquinas infectadas e armazenar dados roubados.

  Mostra como sites comprometidos podem virar infraestrutura de ataque em larga escala, indo muito além do prejuízo ao dono do site.

• A campanha foi batizada de StopAndProtect pela Check Point Research depois que uma família de ransomwares homônima foi encontrada em meados de maio de 2026.

  Dar um nome à operação ajuda pesquisadores a rastrear e compartilhar indicadores de comprometimento da ameaça.

• A cadeia de infecção começa com um ataque de engenharia social ClickFix, mostrado como CAPTCHA falso, que leva a vítima a executar um comando PowerShell; isso inicia downloaders e loaders .NET que instalam os demais módulos maliciosos.

  A tática usa a própria vítima como início da infecção, dificultando a detecção antes da execução do código malicioso.

• A operação nem sempre implanta ransomware; em muitos casos, os invasores roubam silenciosamente listas de arquivos e depois específicos da vítima.

  Isso recomenda que a ameaça pode ser apenas exfiltração de dados, não necessariamente bloqueio dos arquivos.

• Até 24 de julho, mais de 6.000 endereços IP únicos haviam sido comprometidos na operação, incluindo 1.852 nos Estados Unidos.

  O número indica a escala global da infraestrutura e ajuda a dimensionar o impacto da operação em termos de vítimas.

• Os invasores acidentalmente infectaram a si mesmos, expondo arquivos internos e ferramentas usadas para gerenciar os sites comprometidos.

  Esse erro dos criminosos permite que pesquisadores de segurança tenham acesso a ferramentas internas e possam atribuir a operação com mais precisão.

• A operação envolve uma rede de 5.000 computadores infectados ao redor do mundo, além dos aproximadamente 2.000 domínios WordPress.

  O número de máquinas infectadas demonstra a escala global da operação e a capacidade de controlar uma botnet significativa.