2.000 siti WordPress hackerati diventano trappole per gli utenti di criptovalute

Un gruppo criminale che Check Point Research ha soprannominato StopAndProtect sta utilizzando quasi 2.000 blog WordPress mal gestiti per ospitare malware che ruba seed di portafogli di criptovalute, password e file da computer Windows infetti.

Per i possessori di criptovalute, l'aspetto più allarmante è che le acquisizioni sono distribuite su siti legittimi che appaiono come normali blog o siti web aziendali.

Check Point ha pubblicato i dettagli il 18 agosto, collegando il campione di ransomware individuato a metà maggio a una più ampia campagna di estorsione e sorveglianza.

Perché l'hosting della storia

Oggigiorno la maggior parte delle campagne malware viene distribuita da server affittati o compromessi dagli aggressori. StopAndProtect adotta un approccio diverso, ha affermato il ricercatore Jaromír Hořejší. Il loro ransomware, i payload, l'infrastruttura di comando e controllo e l'archiviazione dei dati rubati sono tutti ospitati su domini WordPress che i criminali non hanno dovuto pagare o compromettere.

Questa è la parte più interessante della campagna, ha osservato Hořejší. Un singolo server può ospitare il payload, reindirizzare le istruzioni ai computer compromessi e archiviare i file rubati. Secondo Security Affairs, un sito web violato non è più solo un sito web violato. Può trasformarsi in una piattaforma di lancio per attacchi da parte di altri malintenzionati.

I siti sono mal tenuti, come ha scoperto il team di Hořejší quando ha deciso di esaminare l'istanza di WordPress dietro uno dei domini malevoli. Il ricercatore ha trovato quasi 40 diverse vulnerabilità nel software risalenti al 2021.

Come funziona una truffa di phishing con un CAPTCHA falso

Chi possiede criptovalute dovrebbe prestare particolare attenzione a questa minaccia. La campagna di phishing inganna gli utenti Windows, facendogli credere di dover completare un test CAPTCHA per accedere a un sito web. Tuttavia, il CAPTCHA è in realtà una truffa e agli utenti che tentano di completarlo verrà chiesto di copiare e incollare un comando PowerShell nel prompt dei comandi.

Questo comando PowerShell avvierà quindi il download di payload .NET che consentiranno all'attaccante ditracpassword salvate, seed di portafogli di criptovalute e altri dati dal computer compromesso.

Il malware può anche copiare file da cartelle di rete condivise, unità USB, acquisire schermate del computer infetto e persino crittografarlo e richiedere un riscatto tramite ransomware. Secondo Decrypt, gli utenti dovrebbero diffidare dei siti che chiedono di incollare o digitare qualcosa e abbandonare la pagina non appena visualizzano una richiesta di questo tipo.

I portafogli di criptovalute non sono l'unico obiettivo di questa campagna. In molti casi, gli aggressori utilizzano il malware per rubare file dal computer della vittima. Secondo quanto riportato, i responsabili della minaccia scansionano i file presenti sul computer infetto e selezionano quelli più interessanti da rubare.

Le versioni più recenti del malware sono inoltre in grado di registrare i tasti premuti, scattare screenshot ogni 30 secondi e persino utilizzare WhatsApp per fotografare la rubrica della vittima.

Ciò che gli aggressori hannodentpubblicato sul web

Le informazioni più preziose sulla campagna StopAndProtect provenivano dai server degli stessi criminali. Gli aggressori avevano scarse pratiche di sicurezza informatica, lasciando directory e file di registro accessibili via web. Check Point sospetta che uno dei computer degli aggressori sia stato compromesso e che il criminale abbia caricatodentalcuni file sul server.

Tra i file, Hořejší ha trovato il codice sorgente di uno strumento di automazione che gli hacker utilizzavano per controllare i siti web compromessi.

Lo strumento, scritto in Visual Basic 6 (un linguaggio obsoleto), consente al criminale di attivare da remoto la pagina di phishing CAPTCHA, reindirizzare i visitatori del sito e aggiornare il malware sui siti compromessi. I file di testo allegati allo strumento includono anche un elenco di quasi 2.000 domini che sono stati violati e trasformati in siti di phishing.

I file di registro hanno inoltre aiutato il ricercatore a comprendere la portata dell'attacco. Al 24 luglio, la campagna aveva già infettato più di 6.000 indirizzi IP univoci. Di questi, 1.852 utenti si trovavano negli Stati Uniti e 630 ciascuno in Russia e in India.

Tra metà maggio e fine luglio, i ricercatori hanno scoperto più di 700 archivi di file rubati. Una delle directory aperte sul server conteneva oltre 20.000 screenshot dei computer delle vittime.