Wprowadzenie do problemu / definicja
Kampania StopAndProtect pokazuje, że przejęta strona internetowa może stać się czymś znacznie więcej niż nośnikiem prostych przekierowań czy oszustw SEO. W tym przypadku skompromitowane witryny WordPress zostały wykorzystane jako rozproszona infrastruktura cyberprzestępcza służąca do dostarczania złośliwego oprogramowania, kradzieży danych, monitorowania ofiar oraz wspierania działań o charakterze ransomware.
To szczególnie niebezpieczny model operacyjny, ponieważ opiera się na legalnie wyglądających, lecz przejętych serwisach. Dzięki temu atakujący utrudniają wykrycie i blokowanie swojej infrastruktury, a jednocześnie zwiększają wiarygodność pułapki dla potencjalnych ofiar.
W skrócie
StopAndProtect to rozbudowana operacja wykorzystująca niemal 2 tysiące zhakowanych stron WordPress. Łańcuch ataku rozpoczyna się od fałszywej CAPTCHA opartej na technice ClickFix, która nakłania użytkownika do uruchomienia polecenia PowerShell.
- wykorzystuje skompromitowane witryny WordPress jako zaplecze operacyjne,
- stosuje socjotechnikę do uruchomienia złośliwego kodu przez samą ofiarę,
- wdraża moduły do kradzieży danych, zbierania screenshotów i szyfrowania plików,
- umożliwia ruch boczny przez SMB i nośniki USB,
- nie zawsze od razu uruchamia ransomware, często poprzedzając je rekonesansem i eksfiltracją danych.
Kontekst / historia
Badacze powiązali kampanię z aktywnością obserwowaną od maja 2026 roku. Z ustaleń wynika, że operatorzy zbudowali wielowarstwowy model działania, w którym przejęte strony WordPress pełniły równocześnie funkcję serwerów kolejnych etapów infekcji, repozytoriów skradzionych danych, punktów odbioru logów oraz kanałów dystrybucji poleceń.
W tle widoczny jest dobrze znany problem bezpieczeństwa ekosystemu WordPress: nieaktualne wersje rdzenia, podatne wtyczki, słabo zabezpieczone konta administracyjne oraz brak regularnego nadzoru nad komponentami. W jednym z opisanych przypadków wskazano stronę korzystającą ze starej wersji WordPressa z 2021 roku, obciążonej wieloma znanymi podatnościami.
Rozproszony charakter tej infrastruktury sprawia, że neutralizacja kampanii jest trudniejsza niż w przypadku klasycznych operacji opartych na pojedynczych domenach kontrolowanych przez przestępców. Tutaj fundamentem są zaufane z perspektywy użytkownika strony, które zostały po cichu włączone do większej sieci przestępczej.
Analiza techniczna
Początek infekcji ma charakter czysto socjotechniczny. Użytkownik odwiedzający skompromitowaną stronę widzi fałszywe okno CAPTCHA, które instruuje go, aby skopiował i uruchomił polecenie PowerShell. To wariant techniki ClickFix, w której atakujący omijają klasyczne mechanizmy pobierania malware i skłaniają ofiarę do samodzielnego wykonania szkodliwej akcji.
Po uruchomieniu polecenia aktywowane są kolejne etapy malware napisane w .NET. Następnie wdrażane są główne komponenty operacji odpowiedzialne za szyfrowanie plików, rozprzestrzenianie się przez udziały SMB i urządzenia USB, blokowanie ekranu, kradzież poświadczeń, zbieranie list plików, selektywną eksfiltrację dokumentów oraz wykonywanie zrzutów ekranu.
Na uwagę zasługuje także obecność narzędzia czatu, co sugeruje wyższy poziom interaktywności operatorów z ofiarą. To oznacza, że kampania nie ma wyłącznie charakteru zautomatyzowanego ransomware, ale może obejmować bardziej elastyczne działania zależne od wartości zainfekowanego środowiska.
Istotne jest również to, że StopAndProtect nie przebiega identycznie na wszystkich hostach. W części incydentów operatorzy nie uruchamiają od razu szyfrowania, lecz najpierw katalogują zawartość systemu, zbierają pliki i analizują wartość danych. Wskazuje to na adaptacyjne podejście, w którym decyzja o dalszej eskalacji może zależeć od profilu ofiary lub skuteczności wcześniejszej infiltracji.
Badacze ustalili też, że przestępcy dysponowali narzędziami do masowego zarządzania przejętymi witrynami WordPress. Oprogramowanie administracyjne umożliwiało między innymi przesyłanie i usuwanie plików, aktywowanie lub dezaktywowanie fałszywych stron CAPTCHA, zmianę przekierowań oraz obsługę dodatkowych ładunków. To potwierdza, że operacja była wspierana przez zaplecze automatyzacji i nie miała przypadkowego charakteru.
W ujawnionej infrastrukturze odnaleziono także liczne artefakty operacyjne, takie jak archiwa ze skradzionymi plikami, zrzuty ekranu, hasła, dane portfeli oraz logi aktywności. Skala zgromadzonych materiałów wskazuje, że kampania miała silny komponent szpiegowski i monitoringowy, a nie jedynie destrukcyjny.
Konsekwencje / ryzyko
Skutki kampanii dotyczą jednocześnie dwóch grup: właścicieli stron WordPress oraz użytkowników odwiedzających skompromitowane serwisy. Dla administratora witryny oznacza to nie tylko utratę integralności strony, ale również nieświadome uczestnictwo w infrastrukturze wykorzystywanej do dalszych ataków.
Taka kompromitacja może prowadzić do problemów reputacyjnych, wpisania domeny na listy blokad, a także do konsekwencji prawnych i biznesowych. Serwis internetowy przestaje być wówczas wyłącznie ofiarą i staje się aktywnym elementem łańcucha dostarczania malware.
Dla użytkowników końcowych zagrożenie ma charakter wielowarstwowy. Ofiara może zostać nakłoniona do lokalnego uruchomienia złośliwego kodu, co prowadzi do utraty poświadczeń, monitorowania aktywności, kradzieży dokumentów, a ostatecznie także do szyfrowania danych. Dodatkowym ryzykiem jest naruszenie prywatności wynikające z funkcji wykonywania screenshotów i obserwacji aktywności użytkownika.
Z perspektywy obronnej szczególnie groźny jest hybrydowy charakter kampanii. Łączy ona socjotechnikę, malware modułowe, eksfiltrację, ruch boczny i elementy ransomware, przez co organizacje mogą wykryć incydent zbyt późno, dopiero na etapie szyfrowania danych.
Rekomendacje
Organizacje utrzymujące strony WordPress powinny wdrożyć ścisły proces zarządzania podatnościami. Obejmuje to regularne aktualizacje rdzenia, motywów i wtyczek, usuwanie nieużywanych komponentów oraz rezygnację z rozszerzeń, które nie są już wspierane przez producentów.
- wymuszanie silnych haseł i wieloskładnikowego uwierzytelniania dla kont administracyjnych,
- ograniczenie dostępu do panelu zarządzania i segmentacja uprawnień,
- monitorowanie zmian w plikach aplikacji i wykrywanie nietypowych plików PHP,
- kontrola ukrytych wtyczek, nieautoryzowanych kont administratorów oraz podejrzanych zadań automatycznych,
- analiza logów serwera WWW, uploadów plików i nietypowych połączeń wychodzących.
Po stronie użytkowników kluczowe jest rozpoznawanie nietypowych żądań prezentowanych przez strony internetowe. CAPTCHA nigdy nie powinna wymagać uruchamiania PowerShell, terminala, wiersza poleceń ani wyłączania zabezpieczeń. Każda taka instrukcja powinna być traktowana jako wyraźny sygnał ostrzegawczy.
W środowiskach korporacyjnych warto dodatkowo ograniczać wykonywanie niepodpisanych skryptów PowerShell, wdrażać reguły AppLocker lub WDAC oraz monitorować systemy EDR pod kątem procesów potomnych przeglądarki, nietypowych uruchomień .NET, nagłych operacji na plikach, aktywności SMB i wykorzystania nośników USB.
Zespoły SOC powinny traktować tego typu incydenty jako potencjalne połączenie kradzieży danych i ransomware. To ważne, ponieważ zbyt wąska klasyfikacja może opóźnić reakcję i ograniczyć szansę na zatrzymanie ataku przed etapem wymuszenia.
Podsumowanie
StopAndProtect to przykład nowoczesnej kampanii, w której kompromitacja tysięcy stron WordPress została wykorzystana do budowy odpornej i rozproszonej infrastruktury cyberprzestępczej. Operacja łączy technikę ClickFix, wieloetapowe ładunki .NET, eksfiltrację danych, nadzór nad aktywnością ofiar oraz selektywne użycie ransomware.
Najważniejszy wniosek jest praktyczny: nieaktualna witryna oparta na popularnym CMS-ie może stać się nie tylko ofiarą ataku, ale również aktywnym elementem łańcucha dostaw malware. Dlatego bezpieczeństwo WordPressa powinno być traktowane jako część szerszej strategii ochrony organizacji.