StopAndProtect usa quasi 2.000 siti WordPress per ransomware, furto dati e ClickFix

🛡️ Executive Summary

• StopAndProtect sfrutta quasi 2.000 siti WordPress compromessi per distribuire ClickFix, ospitare payload, gestire il C2 e conservare dati rubati.
• La catena usa PowerShell e loader .NET prima di distribuire ransomware, stealer, worm SMB/USB, lockscreen, VBS spreader e chat con gli operatori.
• Check Point ha contato oltre 6.000 IP nei log e sfruttato errori OPSEC degli attaccanti per ricostruire strumenti, sorgenti e infrastruttura.

Check Point Research ha ricostruito una vasta operazione criminale denominata StopAndProtect che trasforma siti WordPress compromessi in una vera infrastruttura distribuita per malware. I server violati vengono utilizzati contemporaneamente per mostrare falsi CAPTCHA ClickFix, distribuire PowerShell e loader .NET, impartire comandi agli endpoint infetti e conservare documenti, credenziali, screenshot e log sottratti alle vittime. L’indagine ha identificato riferimenti a quasi 2.000 domini WordPress compromessi, oltre 6.000 indirizzi IP nei log raccolti e circa 31.000 screenshot acquisiti durante il monitoraggio. L’operazione non si limita al ransomware: gli attaccanti possono scegliere se cifrare i file, rubarli silenziosamente, propagarsi attraverso SMB e USB o interagire direttamente con la vittima.

StopAndProtect trasforma WordPress in un’infrastruttura criminale distribuita

Il nome StopAndProtect era stato inizialmente attribuito al componente ransomware individuato da Check Point a metà maggio 2026, ma l’analisi successiva ha mostrato che la cifratura rappresenta soltanto una parte dell’operazione. Nel rapporto tecnico pubblicato da Check Point Research i ricercatori descrivono una piattaforma composta da più malware coordinati e da migliaia di siti WordPress violati che svolgono funzioni differenti lungo l’intera catena. Alcuni ospitano il falso CAPTCHA iniziale, altri distribuiscono script e loader, altri ancora operano come server C2 o repository per i dati esfiltrati. I ricercatori hanno inoltre recuperato file interni degli aggressori contenenti elenchi che, sommati, fanno emergere quasi 2.000 domini compromessi o gestiti dall’operatore.

L’uso massiccio di WordPress non sorprende in un ecosistema nel quale installazioni obsolete e plugin vulnerabili continuano a offrire accesso a infrastrutture già dotate di dominio, hosting e reputazione legittima. Il rischio era emerso anche negli attacchi wp2shell contro installazioni WordPress vulnerabili, dove la compromissione consentiva di installare web shell e mantenere persistenza anche dopo l’applicazione delle patch.

Il falso CAPTCHA induce la vittima a eseguire PowerShell

La catena inizia quando un utente visita uno dei siti compromessi e visualizza un falso CAPTCHA ClickFix. La pagina presenta una procedura apparentemente necessaria per completare una verifica umana e copia automaticamente negli appunti un comando PowerShell. Se la vittima segue le istruzioni, avvia volontariamente una sequenza che evita la necessità di sfruttare una vulnerabilità del browser: ClickFix trasforma direttamente l’utente nel primo esecutore dell’attacco.

Il primo script PowerShell invia un log al server C2 e recupera un secondo script, che scarica un payload .NET codificato in Base64, lo decodifica e lo carica in memoria. Da qui parte una struttura multistadio composta da un primo downloader .NET, un secondo downloader persistente con controlli sandbox e infine i componenti operativi. La tecnica continua a diffondersi perché combina ingegneria sociale e strumenti nativi di Windows, come già osservato nelle campagne in cui Telepuz usa ClickFix e PowerShell per distribuire malware modulari. StopAndProtect industrializza ulteriormente il modello, spostando anche la distribuzione dei payload su una rete di siti WordPress già compromessi.

Ransomware, stealer e worm vengono scelti in base alla vittima

Il terzo stadio può distribuire componenti differenti a seconda delle decisioni dell’operatore. SilentEncryptor cifra i file soltanto quando il server C2 invia l’ordine, consentendo agli attaccanti di decidere se colpire tutte le macchine infette oppure soltanto specifici hostname. La funzione di derivazione della chiave combina password per-file e nome del computer; Check Point ha inoltre osservato che entrambe le informazioni restano incorporate nel nome dei file cifrati, circostanza che può rendere possibile la decrittazione. Accanto al ransomware opera SilentDataCollector, uno stealer capace di enumerare tutti i file presenti su dischi locali, supporti rimovibili e condivisioni di rete, inviare l’elenco al C2 e successivamente sottrarre soltanto i documenti selezionati dall’operatore. Le versioni più recenti aggiungono keylogging, acquisizione periodica di screenshot, ricerca di indirizzi email, gestione delle condivisioni di rete e raccolta di informazioni da WhatsApp. Non tutte le infezioni vengono quindi monetizzate immediatamente attraverso una richiesta di riscatto: in molti casi gli operatori preferiscono mantenere l’accesso e raccogliere informazioni. Questa combinazione tra esfiltrazione e cifratura richiama la convergenza tra ransomware e furto dati già evidente nelle campagne ransomware che sfruttano servizi e supply chain compromesse.

Il malware si propaga attraverso SMB, USB e script VBS

StopAndProtect dispone anche di componenti specificamente destinati alla propagazione. NetworkShareScanner enumera condivisioni SMB e dispositivi USB collegati alla macchina infetta, mentre un VBS spreader estende la distribuzione verso dischi e supporti rimovibili, esegue scansioni della rete e può effettuare movimento laterale attraverso creazione remota di processi via WMI. Un modulo LockScreen blocca l’input dell’utente e visualizza il messaggio di riscatto con relativo QR code, mentre SimpleChatProxy introduce una funzione meno comune: una chat personalizzata attraverso la quale gli operatori possono comunicare direttamente con la vittima e perfino inviare immagini.

L’insieme mostra che StopAndProtect è concepito come una piattaforma operativa e non come un singolo ransomware. La cifratura può essere attivata soltanto al termine di una fase di ricognizione e raccolta dati, oppure non essere utilizzata affatto. Questa modularità consente agli attaccanti di adattare la monetizzazione al valore della macchina compromessa, privilegiando dati, credenziali o movimento laterale quando l’ambiente offre opportunità superiori al semplice pagamento di un riscatto.

Un plugin WordPress nascosto garantisce persistenza ai siti violati

Sul lato server, Check Point ha recuperato un archivio contenente mu-uploader-installer.php, installer di un plugin WordPress personalizzato che crea il file wp-content/mu-plugins/wp-sec.php. La sigla MU identifica i must-use plugin, componenti che vengono caricati automaticamente da WordPress e non compaiono nella normale interfaccia di gestione come i plugin tradizionali. Il codice installato dagli aggressori registra un endpoint REST nascosto, wp-sec/v1/upload, protetto da credenziali hardcoded ma capace di caricare file praticamente ovunque sotto la root WordPress, compresi file PHP utilizzabili per remote code execution.

Dopo l’installazione il plugin iniziale si disattiva e si cancella, riducendo le tracce visibili all’amministratore. La tecnica rende insufficiente una verifica limitata all’elenco dei plugin mostrato dal backend: occorre controllare direttamente wp-content/mu-plugins, file PHP inattesi, endpoint REST sconosciuti e modifiche recenti alla struttura del sito. Lo stesso problema della persistenza invisibile era emerso con Forminator e altre vulnerabilità che permettono l’upload di PHP sui siti WordPress, dove la compromissione del CMS può rapidamente trasformarsi in esecuzione di codice sul server.

Gli errori OPSEC degli attaccanti espongono l’intera operazione

Una parte decisiva dell’indagine deriva dagli errori di operational security commessi dagli stessi operatori. Alcuni server compromessi esponevano directory navigabili pubblicamente e script PHP capaci di mostrare file interni. I ricercatori hanno così potuto scaricare log, screenshot, payload e perfino materiale che sembra provenire direttamente dalla macchina di uno degli aggressori. In uno degli archivi comparivano sorgenti di un vecchio strumento Visual Basic 6 utilizzato per amministrare in massa i siti WordPress compromessi, attivare o disattivare i falsi CAPTCHA, sostituire payload e intervenire sui plugin di cache. Nello stesso materiale erano presenti liste denominate CAPCHA-EXISTS, CAPCHA-NOT-EXISTS e registri relativi all’upload dei plugin, con centinaia o migliaia di domini. Check Point ipotizza che l’operatore possa aver infettato accidentalmente il proprio computer, provocando l’esfiltrazione automatica degli strumenti utilizzati per gestire la campagna. Il risultato offre una rara visione interna dell’automazione criminale necessaria per mantenere su larga scala una rete di siti web violati.

Più di 6.000 IP e decine di migliaia di screenshot

La quantità di dati esposti consente a Check Point di stimare la scala dell’operazione con maggiore precisione rispetto alle normali campagne osservate soltanto attraverso telemetria endpoint. Al 24 luglio 2026 i ricercatori avevano individuato oltre 6.000 indirizzi IP unici nei log, con Stati Uniti, Russia e India tra i Paesi maggiormente rappresentati. Gli stessi ricercatori precisano che una parte degli IP può appartenere a sandbox o sistemi di analisi, quindi la cifra non equivale automaticamente a 6.000 vittime reali.

Tra metà maggio e fine luglio sono stati tuttavia raccolti circa 31.000 screenshot, oltre 700 archivi contenenti dati rubati e numerosi file provenienti da desktop, password, wallet e attività degli utenti. In una singola directory erano presenti oltre 20.000 screenshot di attività, mentre un’altra raccolta riguardava circa 200 macchine infette distinte. Il volume indica che StopAndProtect non è una campagna occasionale, ma una piattaforma mantenuta e utilizzata su scala internazionale.

Aggiornare WordPress non basta se il sito è già stato compromesso

Il report mostra anche quanto la manutenzione dei CMS rimanga determinante. Check Point ha esaminato uno dei siti utilizzati dagli aggressori e ha trovato una versione di WordPress risalente al 2021, quasi cinque anni indietro rispetto al ciclo corrente, insieme a circa 40 vulnerabilità rilevate dallo scanner tra SQL injection, authentication bypass, upload arbitrari, redirect aperti e certificati scaduti. Le installazioni esposte non devono quindi limitarsi ad aggiornare core e plugin: quando esistono segnali di compromissione occorre controllare file PHP inattesi, account amministrativi, web shell, directory mu-plugins, task pianificati, modifiche al database e connessioni in uscita. È lo stesso principio applicato dopo l’inserimento di wp2shell nel catalogo CISA KEV: chiudere la vulnerabilità iniziale non elimina automaticamente la persistenza già installata dall’attaccante. Per gli endpoint Windows, invece, il segnale più importante resta la sequenza browser → clipboard → PowerShell → download remoto → loader .NET, che deve essere intercettata prima dell’arrivo dei componenti finali.

WordPress diventa il livello infrastrutturale di una piattaforma malware

StopAndProtect mostra un’evoluzione significativa delle campagne ClickFix. I siti compromessi non vengono utilizzati soltanto come landing page temporanee o semplici redirect, ma diventano nodi multiuso di un’infrastruttura criminale distribuita: ospitano il falso CAPTCHA, distribuiscono PowerShell, servono i loader, raccolgono telemetria, ricevono file rubati e trasmettono le istruzioni per decidere quali macchine cifrare. Questo modello riduce la dipendenza da server dedicati e consente agli aggressori di nascondersi dietro domini legittimi già esistenti. La difesa deve quindi operare su entrambi i lati della catena: i proprietari dei siti WordPress devono impedire che il proprio CMS diventi un nodo della campagna, mentre le organizzazioni devono bloccare l’esecuzione di comandi ClickFix e rilevare PowerShell, loader in memoria, propagazione SMB e raccolta anomala di documenti. StopAndProtect dimostra che un singolo WordPress dimenticato e non aggiornato può smettere di essere soltanto una vittima e trasformarsi nell’infrastruttura con cui vengono attaccati altri utenti.