StopAndProtect: Hacker missbrauchen 2.000 WordPress-Sites als Malware-Infrastruktur

Sicherheitsanalysten haben eine weitreichende Cyber-Operation identifiziert, bei der tausende kompromittierte WordPress-Websites als Command-and-Control-Infrastruktur (C2) missbraucht werden.

Die unter dem Namen StopAndProtect bekannte Kampagne nutzt diese Plattformen, um Malware mithilfe sogenannter ClickFix-Taktiken zu verbreiten. Dabei werden Besucher der manipulierten Seiten mit betrügerischen Inhalten konfrontiert, um Schadsoftware auf deren Systemen zu installieren.

ClickFix-Taktiken und mehrstufige Infektionsketten

Die Angreifer setzen bei ihrer Strategie auf Täuschung durch gefälschte CAPTCHA-Abfragen. Diese ClickFix-Methode verleitet Nutzer dazu, schädliche Befehle in die PowerShell ihres Betriebssystems einzugeben und auszuführen. Nach der erfolgreichen Erstinfektion folgt ein mehrstufiger Prozess, bei dem spezialisierte .NET-Loader zum Einsatz kommen, um die eigentliche Schadsoftware nachzuladen.

Das bereitgestellte Malware-Toolkit der StopAndProtect-Operation ist modular aufgebaut und umfasst eine Vielzahl bösartiger Funktionen. Kernkomponenten sind ein Modul zur Dateiverschlüsselung namens SilentEncryptor sowie ein Werkzeug für den Datendiebstahl mit der Bezeichnung SilentDataCollector.

Wer sich mit den Risiken moderner Cyberangriffe befasst, sollte auch die Sicherheit der eigenen Hardware im Blick behalten. Dieser kostenlose Experten-Report zeigt, wie Sie sich in wenigen Schritten effektiv vor Viren und Ausspäh-Programmen schützen. Kostenlosen Experten-Report jetzt herunterladen

Darüber hinaus beinhaltet das Toolkit einen SMB- und USB-Wurm zur lateralen Ausbreitung in Netzwerken, einen LockScreen, einen Credential-Stealer zum Abgreifen von Zugangsdaten sowie eine integrierte Chat-Funktion für die Kommunikation mit den Opfern. Die Kampagne kombiniert somit klassische Ransomware-Aspekte mit Spionagefunktionen.

Persistenz durch manipulierte WordPress-Erweiterungen

Um die Kontrolle über die als Infrastruktur genutzten WordPress-Instanzen dauerhaft zu sichern, setzen die Hintermänner auf technische Manipulationen im Backend der Webseiten. Ein bösartiges „Must-Use-Plugin“ erstellt dabei einen versteckten REST-API-Upload-Endpunkt.

Dieser Mechanismus sorgt für eine beständige Präsenz auf den Servern und ermöglicht es den Angreifern, jederzeit weiteren Schadcode hochzuladen, während die Kompromittierung für die eigentlichen Seitenbetreiber oft unbemerkt bleibt.

Untersuchungen zeigen, dass die Angreifer gezielt Schwachstellen in älteren Systemen ausnutzen. In einem dokumentierten Fall lief eine betroffene WordPress-Seite bereits seit dem Jahr 2021 und wies rund 40 bekannte Sicherheitslücken auf. Insgesamt verwalten die Betreiber der Kampagne schätzungsweise 2.000 kompromittierte Domains.

Angesichts der zunehmenden Professionalität bei Datendiebstahl und Ransomware wird der Schutz sensibler Informationen für Anwender immer wichtiger. Erfahren Sie in diesem gratis Ratgeber, wie Sie Ihre digitalen Zugänge wirksam absichern und Hackern keine Chance geben. Gratis-Ratgeber für PC-Sicherheit sichern

Globale Reichweite und Analyse der Logdaten

Die Operation wurde Mitte Mai 2026 entdeckt. Aufgrund von Fehlern in der operativen Sicherheit (OPSEC) der Angreifer konnten Sicherheitsforscher Einblick in interne Protokolle gewinnen. Diese Logs enthalten rund 31.000 Screenshots und 700 Archive, die im Zeitraum zwischen Mitte Mai und Ende Juli 2026 gesammelt wurden.

Aus den Daten geht hervor, dass die Kampagne bereits über 6.000 eindeutige Opfer-IP-Adressen gefordert hat. Die geografische Verteilung der Betroffenen zeigt Schwerpunkte in den USA mit 1.852 Infektionen sowie in Russland und Indien mit jeweils 630 identifizierten IPs.

Experten weisen darauf hin, dass die Kombination aus Verschlüsselung und Datendiebstahl das Erpressungspotenzial der Gruppe erheblich steigert. Da die schädlichen Aktivitäten auf den missbrauchten WordPress-Seiten häufig im Hintergrund ablaufen, bleibt das Risiko für Webseitenbetreiber ohne aktuelle Sicherheits-Patches und Monitoring-Lösungen hoch.

de | wissenschaft | 69969100 |