StopAndProtect nutzt fast 2000 gehackte WordPress Seiten

Was ist passiert

Das Cybersicherheitsunternehmen Check Point hat eine globale Cybercrime-Operation aufgedeckt, die es "StopAndProtect" genannt hat. Forscher fanden heraus, dass die Angreifer eine komplexe Infrastruktur aus fast 2.000 gehackten WordPress-basierten Websites nutzen. Dieses riesige Netzwerk wird zur Verbreitung von Malware, zur Fernsteuerung infizierter Systeme und zur Speicherung von bei Opfern gestohlenen Daten verwendet. Im Zentrum des Angriffs steht die Ransomware-Familie "StopAndProtect", die Mitte Mai 2026 entdeckt wurde und der Operation ihren Namen gibt.

Die Operation ist jedoch nicht auf eine einzige Malware beschränkt. Wie Jaromír Hořejší von Check Point Research erklärte, stützt sich dieser Angriff auf ein ganzes Toolkit krimineller Software, die zusammenarbeitet. Dieses Toolkit umfasst Komponenten, die Dateien verschlüsseln, Module, die unbemerkt Dokumente stehlen, Tools, die den Bildschirm des Opfers sperren, und sogar ein benutzerdefiniertes Chat-Programm, das eine Live-Kommunikation zwischen Angreifern und ihren Opfern ermöglicht. Diese vielseitige Struktur ermöglicht es den Angreifern, flexible Strategien je nach ihren Zielen zu verfolgen. Während in einigen Fällen Ransomware eingesetzt wird, wurde in vielen Fällen beobachtet, dass das Hauptziel der Angreifer darin bestand, Dateilisten von Systemen zu exfiltrieren und dann heimlich bestimmte Dokumente zu stehlen. Dies deutet darauf hin, dass die Operation nicht nur auf finanziellen Gewinn abzielt, sondern auch Ziele der Datenspionage verfolgt.

Exfiltrierte Daten

Datendiebstahl ist eines der Hauptziele der StopAndProtect-Operation. Die von den Angreifern von den Opfersystemen gestohlenen Daten sind sehr vielfältig. Dazu gehören sensible Dokumente, Screenshots zur Überwachung der Aktivitäten des Opfers und Aktivitätsprotokolle zur Verfolgung des Operationsstatus. Eine Komponente des Angriffs namens "SilentDataCollector" erstellt zunächst eine Liste aller Laufwerke auf dem System des Opfers, verschlüsselt diese Liste und sendet sie an den Command-and-Control-Server. Der Angreifer kann dann eine Befehlsdatei auf den Server hochladen, die angibt, welche Dateien gestohlen werden sollen, was einen gezielten Datendiebstahl ermöglicht.

Die Datenerfassungsfähigkeiten enden hier nicht. Neuere Versionen der Malware enthalten eine Keylogger-Funktion, die Tastenanschläge aufzeichnet. Dieser Keylogger ist besonders gut darin, gültige E-Mail-Adressen zu erkennen, was wertvolle Informationen für Phishing-Angriffe oder Identitätsdiebstahl liefert. Darüber hinaus verfügt die Software über fortschrittliche Spionagefunktionen, wie das Exfiltrieren von Daten aus der WhatsApp-Desktop-Anwendung, das Zuordnen von Netzwerkfreigaben und deren Aufhebung. Diese Vielfalt zeigt, dass die Angreifer tiefgehende Informationen über das Opfer sammeln und die gestohlenen Daten für verschiedene bösartige Zwecke verwenden können.

Wie der Angriff geschah

Die Angriffskette beginnt mit einer Social-Engineering-Taktik namens "ClickFix", die darauf abzielt, Benutzer zu täuschen. Opfer werden typischerweise durch eine gefälschte CAPTCHA-Überprüfung oder einen ähnlichen Köder dazu verleitet, unwissentlich einen bösartigen PowerShell-Befehl auszuführen. Dieser erste Schritt löst einen mehrstufigen Infektionsprozess aus.

Kompromittierte WordPress-Infrastruktur

Die Infrastruktur der Operation basiert auf fast 2.000 von den Angreifern kompromittierten WordPress-Seiten. Diese Seiten werden für drei Hauptzwecke verwendet: Hosting von Malware-Stufen, Funktion als Command-and-Control (C2)-Server zum Senden von Anweisungen an infizierte Systeme und Speicherung von bei Opfern exfiltrierten Daten. Check Point merkte an, dass sie aufgrund von Fehlern der Angreifer bei der operativen Sicherheit bedeutende Einblicke in die Infrastruktur und die operativen Details gewinnen konnten. Es wurde festgestellt, dass die meisten der kompromittierten Seiten veraltete Versionen von WordPress und dessen Plugins verwendeten. Zum Beispiel lief eine der analysierten Seiten auf einer WordPress-Version von 2021, was sie für etwa 40 verschiedene Sicherheitslücken anfällig machte.

Mehrstufiger Infektionsprozess

Nachdem der PowerShell-Befehl ausgeführt wurde, verläuft der Infektionsprozess in folgenden Schritten:

• Stufe 1: Ein .NET-Downloader wird aktiviert. Die Aufgabe dieser Komponente besteht darin, Infektionsstatistiken an den C2-Server zu melden und den Lader der nächsten Stufe auf das System herunterzuladen.
• Stufe 2: Ein fortschrittlicherer .NET-Downloader und -Lader wird ausgeführt. Diese Stufe umfasst "Sandbox"-Prüfungen, um festzustellen, ob sie sich in einer virtuellen oder Analyseumgebung befindet, sowie detailliertere Protokollierungsmechanismen. Bei Erfolg startet er die Haupt-Malware-Komponenten.
• Stufe 3: Diese Stufe umfasst die sechs Kernkomponenten der Operation:
• SilentEncryptor: Das Ransomware-Modul, das auf Befehl Dateien auf allen aktuell infizierten Computern verschlüsselt oder nur solche mit bestimmten Hostnamen angreift.
• NetworkShareScanner: Verhält sich wie ein SMB/USB-Wurm. Er zielt darauf ab, sich auf andere Geräte auszubreiten, indem er sich über Netzwerkfreigaben und austauschbare USB-Laufwerke verbreitet.
• VBS Spreader: Verbreitet die Malware, indem er sie auf Festplatten und Wechselmedien kopiert. Er scannt auch das Netzwerk und führt laterale Bewegungen über die Windows-Verwaltungsinstrumentation (WMI) durch.
• LockScreen: Verhindert, dass das Opfer seinen Computer benutzt, sperrt den Bildschirm und zeigt eine Lösegeldforderung an, die einen QR-Code für die Zahlung enthält.
• SimpleChatProxy: Eine speziell entwickelte Chat-Anwendung zur Kommunikation zwischen Opfer und Angreifer, die für Prozesse wie Lösegeldverhandlungen verwendet wird.
• SilentDataCollector: Erstellt eine Liste aller Laufwerke, verschlüsselt diese Liste und exfiltriert sie an den C2-Server. Der Operator kann dann bestimmte Dateien aus dieser Liste zum Diebstahl auswählen.

Wer ist betroffen

Der Quellartikel enthält keine spezifischen Details zu den von dem Angriff betroffenen Unternehmen, Sektoren oder geografischen Regionen. Angesichts der globalen Natur der Operation und der Vielfalt der kompromittierten WordPress-Seiten ist jedoch davon auszugehen, dass die Opfer beliebige Internetnutzer sein können, die diese Seiten besuchen. Der Angriff scheint eher opportunistisch als gezielt zu sein und verbreitet sich über veraltete und anfällige Websites. Daher ist jeder Benutzer, der eine dieser fast 2.000 Websites besucht, ein potenzielles Opfer. Darüber hinaus könnten aufgrund der Wurmkomponenten, die sich nach der Erstinfektion in einem Netzwerk ausbreiten, der Computer eines einzelnen Opfers ein gesamtes Unternehmens- oder Heimnetzwerk gefährden.

Was Sie tun können

Der Schutz vor einer solchen vielschichtigen Bedrohung erfordert Vorsichtsmaßnahmen sowohl von Website-Administratoren als auch von Endbenutzern.

• Für WordPress-Administratoren: Halten Sie die Kernsoftware, Themes und Plugins Ihrer Website immer auf dem neuesten Stand. Entfernen Sie alle Plugins und Themes, die Sie nicht verwenden. Verwenden Sie starke Administrator-Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA). Erwägen Sie die Installation eines Sicherheits-Plugins, das die Integrität Ihrer Website regelmäßig überprüft.
• Für Endbenutzer: Seien Sie vorsichtig bei verdächtigen "Verifizierungs"-, "Update"- oder CAPTCHA-Aufforderungen, denen Sie auf Websites begegnen. Vertrauen Sie keinen Pop-ups, die Sie auffordern, eine Datei herunterzuladen oder einen Befehl auszuführen. Verwenden Sie eine seriöse Antivirensoftware und stellen Sie sicher, dass sie regelmäßig aktualisiert wird. Sichern Sie Ihre wichtigen Daten regelmäßig auf einem externen Laufwerk, das nicht mit dem Internet verbunden ist, oder in einem sicheren Cloud-Dienst.

Was das Unternehmen sagt

Check Point, das Unternehmen, das die Untersuchung durchgeführt hat, hebt die Komplexität und das Ausmaß der StopAndProtect-Operation hervor. Jaromír Hořejší, einer der Forscher des Unternehmens, betonte die vielschichtige Natur des Angriffs und erklärte: "Die Operation stützt sich nicht auf eine einzige Malware, sondern auf ein ganzes Toolkit krimineller Software, die zusammenarbeitet." Check Point enthüllte, dass sie aufgrund von operativen Sicherheitsfehlern der Bedrohungsakteure tiefe Einblicke in die Kampagne gewinnen konnten. Diese Fehler legten detaillierte Infektionsprotokolle von Opfermaschinen, Screenshots und die Werkzeuge offen, die die Angreifer zur Massenverwaltung der kompromittierten Websites verwendeten. Diese Informationen ermöglichten es den Forschern, die inneren Abläufe und die Infrastruktur des Angriffs zu kartieren.

Quelle

https://thehackernews.com/2026/08/stopandprotect-uses-nearly-2000-hacked.html