Wprowadzenie do problemu / definicja
Kampania StopAndProtect pokazuje, w jaki sposób cyberprzestępcy potrafią zamienić przejęte witryny WordPress w rozproszoną infrastrukturę do prowadzenia wieloetapowych ataków. Skromitowane serwisy pełnią jednocześnie funkcję hostów dla złośliwych ładunków, punktów komunikacji z operatorami oraz repozytoriów danych wykradzionych z urządzeń ofiar.
To model działania, w którym atak nie kończy się na prostym zainfekowaniu komputera. Łańcuch obejmuje socjotechnikę, uruchomienie kodu przez użytkownika, pobieranie kolejnych komponentów, rozpoznanie środowiska, ruch boczny, kradzież danych, a w wybranych przypadkach także wdrożenie ransomware.
W skrócie
- Operacja wykorzystuje niemal 2 tysiące przejętych stron WordPress.
- Infekcja rozpoczyna się od fałszywych komunikatów ClickFix lub CAPTCHA.
- Ofiara jest nakłaniana do ręcznego uruchomienia polecenia PowerShell.
- Malware działa modułowo i obejmuje funkcje pobierania payloadów, propagacji, blokady ekranu oraz kradzieży danych.
- W wielu przypadkach operatorzy stawiają na cichą eksfiltrację plików zamiast natychmiastowego szyfrowania danych.
Kontekst / historia
StopAndProtect został powiązany z rodziną ransomware wykrytą w połowie maja 2026 roku. Z analizy kampanii wynika, że operatorzy zbudowali skalowalny model działania oparty na masowym przejmowaniu słabo zabezpieczonych instalacji WordPress.
Wspólnym mianownikiem wielu naruszonych witryn były nieaktualne wersje WordPressa oraz przestarzałe wtyczki. Tego rodzaju luki zwiększają powierzchnię ataku i ułatwiają przestępcom uzyskanie trwałego dostępu do środowiska.
Skala operacji wskazuje na wysokie przygotowanie infrastrukturalne. Przejęte strony były wykorzystywane równolegle do hostowania plików malware, odbierania logów z infekcji, przechowywania skradzionych archiwów oraz obsługi mechanizmów sterowania kampanią.
Analiza techniczna
Atak zaczyna się od warstwy socjotechnicznej. Użytkownik odwiedzający skompromitowaną stronę może zobaczyć fałszywy komunikat CAPTCHA lub ClickFix, który ma skłonić go do skopiowania i uruchomienia polecenia PowerShell poza przeglądarką. To właśnie ten moment otwiera drogę do dalszej kompromitacji systemu.
Po uruchomieniu komendy wykonywany jest wieloetapowy łańcuch infekcji. Pierwszy komponent, napisany w .NET, działa jako downloader, raportuje podstawowe statystyki do infrastruktury operatora i pobiera kolejne moduły. Następny etap odpowiada za dodatkowe kontrole środowiska, mechanizmy antysandboxowe oraz bardziej rozbudowane logowanie aktywności.
Kolejna faza obejmuje zestaw wyspecjalizowanych komponentów. Wśród nich znajduje się moduł szyfrujący, który może zostać użyty wobec wszystkich zainfekowanych hostów lub tylko wobec wybranych maszyn. Obecne są także mechanizmy rozprzestrzeniania w sieci, w tym skanowanie udziałów, propagacja przez SMB i USB, wykorzystanie WMI do ruchu bocznego oraz komponent blokujący interfejs użytkownika i wyświetlający żądanie okupu.
Na szczególną uwagę zasługuje moduł kradzieży danych. Zbiera on informacje o dyskach, szyfruje dane przed wysłaniem do serwera operatora i pozwala wskazywać konkretne pliki do wykradzenia. Nowsze warianty rozszerzono o keylogger, wykonywanie zrzutów ekranu co 30 sekund, mapowanie udziałów sieciowych oraz funkcje pozyskiwania danych z komunikatorów, w tym z WhatsApp. Taki zestaw możliwości wskazuje, że kampania ma nie tylko charakter destrukcyjny, ale również szpiegowski.
Od strony infrastruktury WordPress atakujący wykorzystywali niestandardową wtyczkę tworzącą tzw. MU-plugin w katalogu systemowym. Taki mechanizm umożliwia trwałe osadzenie funkcji pozwalającej na przesyłanie dowolnych plików, w tym plików PHP, do różnych lokalizacji w obrębie instalacji WordPress. W praktyce oznacza to możliwość dalszego utrzymywania dostępu oraz zdalnego wykonywania kodu.
Konsekwencje / ryzyko
Ryzyko związane z kampanią StopAndProtect jest wysokie zarówno dla właścicieli przejętych witryn, jak i dla użytkowników odwiedzających takie strony. Administratorzy WordPressa muszą liczyć się z utratą integralności serwisu, wykorzystaniem hostingu do działań przestępczych, spadkiem reputacji domeny oraz skutkami operacyjnymi i prawnymi.
Dla użytkowników końcowych zagrożenie obejmuje pełny łańcuch kompromitacji stacji roboczej. Może dojść do uruchomienia złośliwego kodu, rozpoznania środowiska, kradzieży dokumentów, danych uwierzytelniających, zrzutów ekranu i informacji z komunikatorów, a następnie do propagacji ataku na inne urządzenia w sieci.
Istotne jest również to, że nie każda infekcja kończy się natychmiastowym szyfrowaniem danych. W wielu przypadkach operatorzy stosują model cichej eksfiltracji i monitorowania aktywności ofiary. Taki scenariusz utrudnia wykrycie incydentu, ponieważ brak widocznych zakłóceń obniża czujność użytkownika i zespołów bezpieczeństwa.
Rekomendacje
Organizacje powinny potraktować tę kampanię jako sygnał ostrzegawczy zarówno w obszarze ochrony aplikacji webowych, jak i bezpieczeństwa punktów końcowych. Podstawą pozostaje szybkie aktualizowanie WordPressa, motywów i wtyczek oraz ograniczanie liczby niepotrzebnych rozszerzeń.
- Regularnie audytować katalogi wtyczek i lokalizacje związane z MU-plugins pod kątem nieautoryzowanych plików.
- Monitorować serwery WWW pod kątem nietypowych uploadów plików PHP oraz podejrzanych zmian w katalogu wp-content.
- Wdrożyć WAF oraz narzędzia EDR lub XDR do wykrywania nietypowych zachowań na hostach.
- Tworzyć reguły detekcyjne dla uruchomień PowerShell z nietypowych kontekstów użytkownika.
- Szkolić użytkowników, że legalne mechanizmy CAPTCHA nie wymagają kopiowania i uruchamiania poleceń systemowych.
Z perspektywy SOC lub zespołu reagowania warto szukać wskaźników kompromitacji takich jak nietypowy ruch do wielu domen WordPress, cykliczne wykonywanie zrzutów ekranu, mapowanie udziałów sieciowych, użycie WMI do ruchu bocznego oraz procesy .NET uruchamiające kolejne etapy infekcji.
W przypadku podejrzenia naruszenia należy odizolować host, zabezpieczyć artefakty pamięci i dysku, przeanalizować logi PowerShell, autostart, harmonogram zadań, udziały sieciowe oraz zawartość aplikacji przeglądarkowych i komunikatorów. Równolegle trzeba sprawdzić, czy firmowe serwery WordPress nie zostały wykorzystane jako element infrastruktury pośredniczącej.
Podsumowanie
StopAndProtect to przykład dojrzałej operacji, w której przejęte strony WordPress nie są dodatkiem do kampanii, lecz jej kluczowym fundamentem. Połączenie fałszywych komunikatów ClickFix, modułowej architektury malware, funkcji szpiegowskich i możliwości selektywnego wdrażania ransomware tworzy zagrożenie wielowarstwowe.
Najważniejsze środki obrony pozostają niezmienne: aktualizacje, monitoring integralności plików, kontrola nietypowych uploadów, analiza aktywności PowerShell oraz edukacja użytkowników w zakresie socjotechniki. To właśnie te podstawowe elementy mogą przerwać łańcuch ataku zanim dojdzie do eksfiltracji danych lub szyfrowania systemów.
Źródła
- StopAndProtect Uses Nearly 2,000 Hacked WordPress Sites to Spread Malware and Steal Data — https://thehackernews.com/2026/08/stopandprotect-uses-nearly-2000-hacked.html
- Check Point Research — https://research.checkpoint.com/
- WordPress Must-Use Plugins Documentation — https://developer.wordpress.org/advanced-administration/plugins/mu-plugins/