Quasi 2.000 siti WordPress compromessi sono stati riutilizzati come infrastruttura criminale per distribuire malware, rubare dati, monitorare le vittime e installare ransomware, secondo la società di cybersecurity Check Point Research, che ha illustrato i risultati in un report pubblicato martedì.

I ricercatori hanno individuato per la prima volta la famiglia ransomware StopAndProtect a metà maggio, prima di ricondurla a un'operazione molto più ampia. I siti dirottati svolgevano più funzioni: ospitavano payload malware, inoltravano comandi ai computer infetti e memorizzavano documenti rubati, screenshot e registri delle attività. I siti legittimi compromessi sono particolarmente apprezzati come infrastruttura criminale proprio perché appaiono affidabili — le connessioni a un dominio consolidato hanno meno probabilità di essere bloccate rispetto al traffico verso un server noto come malevolo — e l'ampia diffusione di WordPress lo rende uno sfondo ricorrente per questo tipo di abuso, poiché la piattaforma alimenta oltre il 40 percento di tutti i siti web, secondo le continue rilevazioni web-technology di W3Techs.

"L'operazione non si basa su un singolo malware, ma su un intero insieme di software criminali che lavorano insieme", ha scritto il ricercatore di Check Point Jaromír Horejsi. "Alcuni componenti cifrano i file, altri rubano silenziosamente documenti o bloccano lo schermo, e un altro funge da chat in tempo reale tra gli attaccanti e le loro vittime."

Secondo Check Point, il malware prende di mira gli utenti Windows e inizia con un finto CAPTCHA visualizzato su un sito compromesso. Il prompt ClickFix istruisce le vittime a eseguire un comando PowerShell che installa un malware in grado di rubare credenziali e seed phrase dei wallet di criptovalute, propagarsi attraverso reti e unità USB, bloccare gli schermi e distribuire ransomware. Il report non ha indicato se gli utenti macOS e Linux siano interessati.

La catena si appoggia a strumenti già presenti sui dispositivi delle vittime. Poiché gli utenti incollano ed eseguono personalmente il comando PowerShell, l'attacco può aggirare le protezioni del browser che intercetterebbero un normale download drive-by — e PowerShell, un'utilità di amministrazione di Windows installata di default sul sistema operativo, è da tempo uno degli strumenti più frequentemente abusati nelle intrusioni reali.

Gli errori degli stessi attaccanti, tuttavia, hanno offerto ai ricercatori di Check Point una visione insolitamente approfondita dell'operazione, ha affermato l'azienda.

"Le falle di sicurezza operativa (OPSEC) dello sviluppatore hanno esposto molti file, inclusi registri dettagliati delle infezioni dalle macchine delle vittime, screenshot dei computer infetti e il codice sorgente degli strumenti che i criminali usano per gestire in massa i siti compromessi", ha scritto Horejsi.

Entro il 24 luglio, la campagna aveva compromesso oltre 6.000 indirizzi IP unici, inclusi 1.852 negli Stati Uniti e 630 ciascuno in Russia e India. Le directory esposte contenevano registri delle infezioni e screenshot presi dai computer delle vittime. Tra metà maggio e la fine di luglio, i ricercatori hanno detto di aver raccolto più di 31.000 screenshot, insieme a oltre 700 archivi di dati rubati che includevano documenti, password e file di wallet di criptovalute.

Check Point ritiene che l'attore della minaccia si sia anche infettato accidentalmente con il proprio malware.

"Abbiamo raccolto alcune centinaia di file esfiltrati dalle macchine delle vittime e riteniamo che in un caso l'attore della minaccia abbia infettato sé stesso, poiché uno degli archivi conteneva diversi file insoliti con contenuti sospetti", ha scritto Horejsi. "Questo ci aiuta anche a comprendere meglio come opera l'attore e quanti domini compromessi controlli probabilmente."

Le truffe ClickFix sono emerse in diverse altre campagne malware quest'anno. A maggio, un sito di abbigliamento collegato al direttore dell'FBI Kash Patel è stato disattivato dopo che i visitatori macOS sarebbero stati presi di mira con il malware ClickFix. Agli utenti veniva chiesto di incollare un comando in Terminal che installava un infostealer capace di colpire dati del browser, token di sessione e wallet crypto.

A luglio, Jamf Threat Labs ha individuato malware in stile ClickFix distribuito tramite un annuncio sponsorizzato su X. L'annuncio reindirizzava gli utenti a un sito web che li istruiva ad aprire Terminal ed eseguire un comando che installava una variante dell'infostealer Atomic.

Ad agosto, i ricercatori di Microsoft hanno avvertito che gli hacker stavano usando siti compromessi e smart contract di BNB Chain per distribuire malware tramite falsi CAPTCHA.

In tutte queste campagne, la difesa pratica è la stessa e non richiede competenze tecniche: una verifica CAPTCHA autentica non chiede mai agli utenti di aprire un terminale o eseguire un comando. I risultati di Check Point indicano anche l'altro lato del problema — per i proprietari dei milioni di siti costruiti su WordPress, una pagina dirottata non è soltanto una violazione della propria proprietà, ma un pezzo di infrastruttura rivoltato contro i visitatori e il web più ampio.