Près de 2 000 sites WordPress compromis ont été détournés pour servir d'infrastructure criminelle destinée à distribuer des logiciels malveillants, voler des données, surveiller des victimes et déployer des rançongiciels, selon la société de cybersécurité Check Point Research, qui a détaillé ces conclusions dans un rapport publié mardi.

Les chercheurs ont d'abord identifié la famille de rançongiciels StopAndProtect à la mi-mai avant de la relier à une opération bien plus vaste. Les sites détournés remplissaient plusieurs fonctions : ils hébergeaient des charges utiles de logiciels malveillants, transmettaient des commandes aux ordinateurs infectés et stockaient des documents volés, des captures d'écran et des journaux d'activité. Les sites légitimes compromis sont prisés comme infrastructure criminelle précisément parce qu'ils semblent dignes de confiance — les connexions à un domaine établi ont moins de chances d'être bloquées que le trafic vers un serveur malveillant connu — et l'empreinte considérable de WordPress en fait un décor récurrent de ce type d'abus, la plateforme alimentant plus de 40 % de tous les sites web, selon les enquêtes continues de W3Techs sur les technologies du web.

« L'opération ne repose pas sur un seul logiciel malveillant, mais sur tout un arsenal de logiciels criminels travaillant de concert », a écrit Jaromír Horejsi, chercheur chez Check Point. « Certains composants chiffrent des fichiers, d'autres volent silencieusement des documents ou verrouillent l'écran, et un autre sert de chat en direct entre les attaquants et leurs victimes. »

Selon Check Point, le logiciel malveillant cible les utilisateurs de Windows et commence par un faux CAPTCHA affiché sur un site compromis. L'invite ClickFix demande aux victimes d'exécuter une commande PowerShell qui installe un logiciel malveillant capable de voler des identifiants et des phrases secrètes de portefeuilles de cryptomonnaies, de se propager via les réseaux et les clés USB, de verrouiller les écrans et de déployer des rançongiciels. Le rapport ne précise pas si les utilisateurs de macOS et de Linux sont concernés.

Cette chaîne d'attaque s'appuie sur des outils que les victimes possèdent déjà. Parce que ce sont les utilisateurs eux-mêmes qui collent et exécutent la commande PowerShell, l'attaque peut contourner les protections du navigateur qui intercepteraient un téléchargement drive-by classique — et PowerShell, un utilitaire d'administration Windows installé par défaut avec le système d'exploitation, figure depuis longtemps parmi les outils les plus souvent détournés lors d'intrusions réelles.

Les propres erreurs des attaquants ont toutefois offert aux chercheurs de Check Point un aperçu exceptionnellement approfondi des rouages de l'opération, selon la société.

« Les défaillances de sécurité opérationnelle (OPSEC) du développeur ont exposé de nombreux fichiers, notamment des journaux d'infection détaillés provenant des machines des victimes, des captures d'écran d'ordinateurs infectés et le code source des outils que les criminels utilisent pour gérer en masse les sites compromis », a écrit M. Horejsi.

Au 24 juillet, la campagne avait compromis plus de 6 000 adresses IP uniques, dont 1 852 aux États-Unis et 630 chacune en Russie et en Inde. Les répertoires exposés contenaient des journaux d'infection et des captures d'écran provenant des ordinateurs des victimes. Entre la mi-mai et la fin juillet, les chercheurs ont déclaré avoir collecté plus de 31 000 captures d'écran, ainsi que plus de 700 archives de données volées comprenant des documents, des mots de passe et des fichiers de portefeuilles de cryptomonnaies.

Check Point estime que l'acteur de la menace s'est également infecté accidentellement avec son propre logiciel malveillant.

« Nous avons collecté quelques centaines de fichiers exfiltrés des machines des victimes, et nous pensons qu'en une occasion l'acteur de la menace s'est infecté lui-même, une archive contenant plusieurs fichiers inhabituels au contenu suspect », a écrit M. Horejsi. « Cela nous aide également à mieux comprendre comment l'acteur opère et combien de domaines compromis il contrôle probablement. »

Les escroqueries ClickFix sont apparues dans plusieurs autres campagnes de logiciels malveillants cette année. En mai, un site de vêtements lié au directeur du FBI, Kash Patel, a été mis hors ligne après que des visiteurs sous macOS auraient été ciblés par le logiciel malveillant ClickFix. Les utilisateurs étaient invités à coller une commande dans Terminal qui installait un infostealer capable de cibler les données de navigation, les jetons de session et les portefeuilles de cryptomonnaies.

En juillet, Jamf Threat Labs a découvert un logiciel malveillant de type ClickFix distribué via une publicité sponsorisée sur X. L'annonce redirigeait les utilisateurs vers un site web leur demandant d'ouvrir Terminal et d'exécuter une commande installant une variante de l'infostealer Atomic.

En août, des chercheurs de Microsoft ont averti que des pirates utilisaient des sites compromis et des contrats intelligents de la BNB Chain pour distribuer des logiciels malveillants via de faux CAPTCHA.

Dans toutes ces campagnes, la défense pratique reste la même et ne requiert aucune compétence technique : une véritable vérification CAPTCHA ne demande jamais à l'utilisateur d'ouvrir un terminal ni d'exécuter une commande. Les conclusions de Check Point soulignent aussi l'autre versant du problème — pour les propriétaires des millions de sites construits sur WordPress, une page détournée n'est pas seulement une violation de leur propre bien, mais un morceau d'infrastructure retourné contre leurs visiteurs et l'internet tout entier.