Chiến dịch StopAndProtect lợi dụng gần 2.000 website WordPress bị chiếm quyền
"Researchers identified the StopAndProtect cybercrime operation, which uses nearly 2,000 compromised WordPress sites to host malware stages, act as C2 infrastructure, and store stolen logs and files. The campaign starts with ClickFix-style social engineering and a PowerShell-based infection chain that deploys .NET downloaders, ransomware, a worm, a lockscreen, a chat tool, and a data stealer; the abused WordPress sites are often outdated and vulnerable, and a malicious plugin enables arbitrary file uploads and potential remote code execution."
Nguy cơ xâm nhập diện rộng, đánh cắp dữ liệu và thực thi mã từ xa trên các website WordPress bị khai thác.
Có thể gây gián đoạn dịch vụ web, rò rỉ dữ liệu nội bộ và phát sinh chi phí ứng cứu sự cố đáng kể.
Các nhà nghiên cứu an ninh đã ghi nhận một chiến dịch tội phạm mạng quy mô lớn, trong đó kẻ tấn công lợi dụng gần 2.000 website WordPress bị xâm nhập để phát tán mã độc, vận hành hạ tầng C2, và lưu trữ dữ liệu đánh cắp như log, tài liệu và ảnh chụp màn hình. Chuỗi lây nhiễm bắt đầu bằng kỹ thuật xã hội kiểu ClickFix, sau đó thực thi PowerShell để tải các bộ tải .NET và triển khai nhiều thành phần khác nhau.
Tùy trường hợp, chiến dịch có thể cài ransomware, worm SMB/USB, LockScreen, công cụ chat và data stealer; tuy nhiên, nhiều nạn nhân bị âm thầm thu thập danh sách tệp và trích xuất dữ liệu cụ thể thay vì bị mã hóa toàn bộ. Các website WordPress bị lạm dụng thường chạy phiên bản cũ, có plugin lỗi thời, và một plugin độc hại cho phép tải tệp tùy ý vào nhiều vị trí dưới thư mục gốc WordPress, làm tăng nguy cơ remote code execution.
Khuyến nghị: cập nhật WordPress và plugin ngay, rà soát MU plugins và tệp lạ trong wp-content, kiểm tra dấu hiệu C2, đồng thời giám sát PowerShell, lưu lượng tải xuống bất thường và các tệp nén bị exfiltrate. Với hệ thống bị nghi ngờ, cần cô lập, xoay vòng thông tin xác thực và kiểm tra nhật ký truy cập quản trị.