Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

StopAndProtect Uses Nearly 2,000 Hacked WordPress Sites to Spread Malware and Steal Data

1 minute de lecture

Mis à jour :

Opération StopAndProtect : le botnet WordPress détourné pour le vol de données et les rançongiciels

La campagne « StopAndProtect » exploite environ 2 000 sites WordPress vulnérables pour orchestrer une opération cybercriminelle complexe. Ces sites servent d’infrastructure pour héberger des logiciels malveillants, piloter des serveurs de commande et de contrôle (C2) et stocker des données exfiltrées.

Points clés :

  • Vecteur d’attaque : Utilisation d’attaques d’ingénierie sociale de type « ClickFix » (fausses CAPTCHA) incitant les utilisateurs à exécuter des commandes PowerShell.
  • Polyvalence malveillante : La chaîne d’infection déploie un kit complet comprenant des rançongiciels, des vers (SMB/USB), des enregistreurs de frappe, des outils de capture d’écran et des utilitaires de chat pour interagir avec les victimes.
  • Infrastructure détournée : Les attaquants installent des extensions WordPress malveillantes (« must-use plugins ») permettant l’upload arbitraire de fichiers et l’exécution de code à distance (RCE).
  • Erreurs opérationnelles : Une mauvaise sécurisation des fichiers journaux sur les sites compromis a permis aux chercheurs de découvrir l’ampleur du botnet, qui compte plus de 6 000 adresses IP victimes.

Vulnérabilités :

  • L’exploitation repose principalement sur le manque de maintenance des sites WordPress (versions obsolètes et plugins non mis à jour). Un site identifié utilisait une version datant de 2021, exposée à environ 40 vulnérabilités connues.
  • Utilisation de failles permettant l’upload de fichiers PHP arbitraires via des extensions malveillantes dissimulées dans le répertoire wp-content/mu-plugins.

Recommandations :

  • Pour les administrateurs WordPress : Mettre à jour systématiquement le cœur de WordPress, les thèmes et les extensions. Supprimer les fichiers inutilisés ou suspects dans le répertoire mu-plugins.
  • Pour les utilisateurs : Se méfier des invites CAPTCHA suspectes qui demandent de copier-coller ou d’exécuter des commandes système.
  • Sécurité générale : Maintenir les logiciels et systèmes d’exploitation à jour et quitter immédiatement tout site Web sollicitant des manipulations inhabituelles hors du navigateur.

Source

Vous pourriez aimer