新たに発見されたサイバー犯罪キャンペーン「StopAndProtect」は、侵害された数千件のWordPressサイトを、マルウェア配布、コマンド&コントロール(C2)通信、盗難データの保管に利用する分散インフラへと変貌させています。
Checkpointは2026年5月中旬にこのキャンペーンを初めて確認し、ランサムウェア活動と標的型データ窃取が組み合わさっていることを突き止めました。この仕組みにより、攻撃者は被害者のファイルを暗号化するか、密かに文書を収集するか、あるいはその両方を行うかを選択できます。
キャンペーンは、乗っ取られたウェブサイト上でホストされるClickFix型のソーシャルエンジニアリングの誘導から始まります。訪問者には偽のCAPTCHA表示が示され、PowerShellコマンドをコピーして実行するよう指示されます。
このコマンドが実行されると、隠されたPowerShellプロセスが起動し、追加のペイロードがダウンロードされて、多段階の感染チェーンが始動します。この一連の流れは、PowerShellスクリプトから.NETローダーへと進み、最終的に被害者のシステムに機能を備えたマルウェアモジュールを展開します。
StopAndProtectのマルウェアツールキットには、SilentEncryptorと呼ばれるランサムウェアコンポーネント、SilentDataCollectorという認証情報・データ窃取ツール、ロック画面ペイロード、カスタムチャットツール、そしてSMB共有、USBデバイス、WMI、リムーバブルメディアを介して拡散できる伝播コンポーネントが含まれています。
このモジュール設計により、攻撃者は柔軟な運用が可能になります。感染した全端末を自動的に暗号化するのではなく、運営者はファイル一覧を収集し、価値の高い文書を選び出して窃取し、後から選んだマシンで暗号化を実行することができます。
侵害されたWordPressサイトは、この作戦のあらゆる段階で中心的な役割を果たしています。攻撃者はこれらのサイトを使い、PowerShellスクリプトや.NETペイロードをホストし、感染ホストへ指令を出し、テレメトリを受信し、文書、ブラウザ関連データ、スクリーンショット、暗号化ログ、被害者システム上のファイル一覧を含む窃取済みアーカイブを保管しています。
Jaromír Hořejší氏の観測によれば、2026年5月中旬から7月下旬にかけて、700件を超える窃取データアーカイブと約31,000枚のスクリーンショットが収集されていました。
運用上のセキュリティミスにより、このキャンペーンの規模が明らかになりました。侵害されたサーバーの1台には誰でも閲覧可能なディレクトリ一覧が存在し、マルウェアサンプル、ログ、被害者のスクリーンショット、カスタムPHPユーティリティが露見していました。
感染した他のWordPressサイトには、パスワードで保護されたファイルマネージャー、アップローダー、削除ツールがホストされており、運営者がインフラを維持するのに役立っていました。
これらのユーティリティを使うことで、このグループは通常のWordPress管理画面を通じた直接的な管理者アクセスを必要とせずに、新しいペイロードのアップロード、痕跡の削除、乗っ取ったウェブサイト全体にわたる悪質なコンテンツの管理を行うことができました。
特に重要な発見は、悪意のあるWordPressのmust-useプラグインインストーラーです。有効化されると、wp-content/mu-pluginsディレクトリ配下に隠しプラグインを作成し、隠されたREST APIアップロードエンドポイントを公開していました。
must-useプラグインはすべてのリクエストで自動的に読み込まれ、通常はWordPressの標準的なプラグイン画面には表示されないため、攻撃者に長期的な永続性を与えます。
このバックドアは、WordPressのルート配下の場所にPHPファイルをアップロードできる可能性があり、リモートコード実行につながるおそれがありました。攻撃者自身とみられる自己感染によって、内部で使用されているツールも明らかになりました。
あるアーカイブには、侵害されたWordPressサイトを大量に管理するために使われるVisual Basic 6アプリケーションのソースコードとドメインリストが含まれていました。
このツールは、ペイロードのアップロード、偽CAPTCHAの有効化、キャッシュの操作、ファイルの削除を担っていたとされています。内部リストには約2,000件の侵害ドメインが記載されており、このインフラが大規模な運用を前提に構築されていたことがうかがえます。
キャンペーンのログからは、6,000件を超えるユニークIPアドレスが確認されており、最も多く集中していたのはアメリカ、ロシア、インドでした。
StopAndProtectは、管理が行き届いていないWordPressのインストールや脆弱なプラグインが、初期侵入経路にも、強靭な犯罪インフラにもなり得ることを示しています。
ウェブサイトの管理者は、WordPress本体とプラグインを至急パッチ適用し、must-useプラグインのディレクトリを監査し、想定外のRESTエンドポイントを点検し、見覚えのないPHPファイル、アップロードユーティリティ、CAPTCHAのオーバーレイを調査するべきです。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(defang、例: [.])を用いています。再有効化(re-fang)は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/thousands-wordpress-stopandprotect-malware-infrastructure/
