Casi 2.000 dominios basados en WordPress fueron comprometidos y utilizados como parte de una infraestructura criminal diseñada para distribuir malware y facilitar el robo de información de los usuarios de criptomonedas.
La campaña identificada como StopAndProtect, habría afectado además a más de 5.000 computadoras en todo el mundo, según una investigación de Check Point Research.
El caso encendió las alertas ya que los atacantes usaron sitios web legítimos que habrían sido vulnerados para:
- alojar archivos maliciosos
- distribuir nuevas cargas de malware
- comunicarse con equipos infectados
- almacenar información robada
De esta manera, páginas que a simple vista podían parecer confiables terminaron formando parte de una red utilizada para actividades delictivas por un grupo de ciberdelicuentes.
Cómo fue el error de los atacantes
La investigación comenzó a partir de un error de seguridad operacional cometido por los propios ciberdelincuentes, por el cual quedaron en evidencia.
Los investigadores encontraron directorios que habían quedado públicamente accesibles y que contenían:
- registros de malware
- capturas de pantalla de víctimas
- archivos robados
- herramientas internas
- código utilizado para automatizar la gestión de los sitios comprometidos
Entre los archivos recuperados había referencias a cerca de 2.000 dominios de WordPress afectados por la operación, y los investigadores incluso sospechan que uno de los operadores pudo haber infectado accidentalmente su propia computadora.
Este hecho habría provocado que los archivos internos de desarrollo terminaran almacenados en la misma infraestructura utilizada para recopilar información de las víctimas.
Por qué eligieron WordPress como infraestructura para el ataque
Por otro lado, este caso también puso el foco en un problema conocido sobre cómo los sitios que funcionan con versiones desactualizadas de WordPress o de sus complementos pueden convertirse en un recurso para los atacantes.
Check Point identificó, por ejemplo, un sitio comprometido que utilizaba una versión de WordPress de 2021, que presentaba casi 40 vulnerabilidades conocidas y que una vez tomado el control, el sitio podía ser utilizado como una pieza más de la infraestructura criminal.
La ventaja para los delincuentes es evidente, ya que en lugar de utilizar exclusivamente servidores creados para actividades maliciosas, pueden esconder parte de sus operaciones detrás de dominios legítimos y de confianza.
La campaña no depende únicamente de vulnerabilidades técnicas, debido a que una de las técnicas utilizadas es ClickFix, una modalidad de ingeniería social que presenta al usuario un supuesto CAPTCHA o una verificación de seguridad.
El problema apareció cuando la falsa prueba solicitó copiar, pegar y ejecutar comandos en la computadora, y al seguir esas instrucciones, la propia víctima terminó iniciando la cadena de infección y descargando componentes maliciosos desde sitios comprometidos.
De esta forma, las víctimas otorgaron sin darse cuenta una serie de contraseñas guardadas, frases semilla de carteras de criptomonedas y otros datos sensibles presentes en el equipo.
El mecanismo explotó un elemento fundamental de la seguridad digital y fue la confianza, ya que un usuario puede desconfiar de un dominio evidentemente sospechoso, pero bajar la guardia cuando la instrucción aparece dentro de una página que parece legítima.
No se trata solamente de robar criptomonedas
Aunque el robo de criptomonedas es uno de los riesgos asociados a este tipo de campañas, el alcance también puede ser mucho mayor.
Según Check Point, la infraestructura de StopAndProtect podía utilizarse para distribuir diferentes tipos de malware y entre sus posibles objetivos aparecen el robo de documentos, la extracción de credenciales, la vigilancia de equipos y el ransomware.
En otras palabras, que los delincuentes hayan comprometido al sitio de WordPress funcionó como una puerta de entrada dentro de una operación mucho más amplia.
Las páginas web vulneradas fueron usadas durante años para alojar contenido de phishing y malware, además, investigaciones anteriores, por ejemplo, detectaron miles de sitios WordPress comprometidos que incorporaban páginas falsas destinadas a robar credenciales.
Para los usuarios, una de las principales señales de alerta es fácil, y se trata de que un CAPTCHA legítimo no debería pedir que se abra una terminal, se ejecute PowerShell ni se copien y peguen comandos en el equipo.
Check Point recomendó abandonar inmediatamente cualquier página que solicite este tipo de acciones y mantener actualizados tanto el sistema operativo como las herramientas de seguridad.
