Sitios WordPress hackeados impulsan campaña de malware

Una operación global de ciberdelincuencia llamada StopAndProtect está aprovechando miles de sitios WordPress hackeados para distribuir malware, robar archivos y controlar equipos infectados.

La campaña utiliza un completo arsenal de herramientas: ransomware, gusanos que se propagan por SMB y USB, bloqueadores de pantalla, ladrones de credenciales y hasta un sistema de chat para comunicarse con las víctimas.

El ataque suele comenzar con ClickFix, una técnica de ingeniería social que engaña al usuario para ejecutar comandos de PowerShell. Sin embargo, el objetivo no siempre es cifrar los archivos: en muchos casos, los atacantes prefieren actuar en silencio, localizar información valiosa y robar documentos específicos sin levantar sospechas.

En resumen, StopAndProtect convierte sitios WordPress comprometidos en una auténtica infraestructura criminal para distribuir malware, espiar sistemas y exfiltrar datos.

Estos sitios son manipulados para mostrar a los visitantes CAPTCHA falsos al estilo ClickFix, lo que termina iniciando la infección. El comando de PowerShell ejecutado mediante este método activa un proceso de varias etapas:

• Etapa 1: un descargador .NET que envía estadísticas al servidor de comando y control (C2) y carga la siguiente fase.
• Etapa 2: otro descargador y cargador .NET que incorpora comprobaciones para detectar entornos sandbox, añade más mecanismos de registro y ejecuta los componentes principales.
• Etapa 3: incluye seis módulos:
  • SilentEncryptor: cifra todos los equipos infectados o únicamente aquellos con nombres de host específicos.
  • NetworkShareScanner: funciona como un gusano SMB/USB para propagarse a otros dispositivos.
  • VBS Spreader: extiende el malware a discos duros y medios extraíbles, analiza la red y se desplaza lateralmente mediante WMI.
  • LockScreen: bloquea la interacción del usuario y muestra un mensaje de rescate con un código QR para realizar el pago.
  • SimpleChatProxy: aplicación de chat personalizada para comunicarse entre la víctima y el operador.
  • SilentDataCollector: genera una lista de todas las unidades del sistema, la cifra y la envía al servidor C2. El atacante también puede cargar un archivo de comandos para indicar al malware qué archivos específicos debe robar.

Las versiones más recientes del ladrón de información añaden nuevas capacidades, como registro de pulsaciones de teclado, detección de direcciones de correo electrónico válidas, robo de información desde WhatsApp, conexión y desconexión de recursos compartidos de red y capturas de pantalla de la actividad del usuario cada 30 segundos.

Según Check Point, el atacante puede introducir una palabra clave para realizar búsquedas en WhatsApp, tanto en la versión web como en la aplicación de escritorio. El malware espera a que la víctima esté inactiva y utiliza funciones de automatización para abrir el buscador, introducir el nombre de un contacto, acceder a su información y realizar una captura de pantalla.

Investigaciones adicionales revelaron que los atacantes utilizan un archivo ZIP que contiene un archivo PHP llamado uploader-installer.php para instalar un plugin personalizado de WordPress. Este crea un plugin obligatorio (MU plugin) dentro del directorio wp-content/mu-plugins.

El plugin permite que cualquier persona con credenciales válidas pueda subir archivos arbitrarios, incluidos archivos PHP, a prácticamente cualquier ubicación dentro de la instalación de WordPress. Esto puede facilitar la ejecución remota de código. Una vez realizadas las modificaciones, el plugin se desactiva y se elimina automáticamente para evitar ser detectado.

Entre los archivos almacenados en los sitios comprometidos se encontraron datos robados de los equipos de las víctimas. Desde mediados de mayo hasta finales de julio de 2026, los investigadores identificaron más de 700 archivos comprimidos.

Curiosamente, algunos de esos archivos contenían herramientas internas de desarrollo de los propios atacantes, lo que sugiere que pudieron infectarse accidentalmente a sí mismos. Entre ellas se encontraba una herramienta de automatización personalizada llamada fMain.frm, utilizada para administrar los sitios WordPress comprometidos.