2.000 sites WordPress pirateados tornam-se armadilhas para os utilizadores de criptomoedas
- O StopAndProtect comprometeu quase 2.000 sites WordPress, transformando-os em infraestrutura para ataques de malware.
- O malware tem como alvo os utilizadores de criptomoedas, roubando frases-semente de carteiras, palavras-passe, ficheiros e outros dados confidenciais de dispositivos Windows.
- Os atacantes utilizam páginas CAPTCHA falsas para enganar as vítimas e levá-las a executar comandos maliciosos do PowerShell que instalam o malware.
Um grupo criminoso que a Check Point Research apelidou de StopAndProtect tem utilizado quase 2.000 blogues WordPress mal mantidos para alojar malware que rouba sementes de carteiras de criptomoedas, palavras-passe e ficheiros de computadores Windows infetados.
Para os detentores de criptomoedas, o aspeto mais alarmante é que as intrusões estão a ocorrer em sites legítimos que aparentam ser blogues ou sites comerciais comuns.
A Check Point divulgou os detalhes a 18 de agosto, depois de ter relacionado a amostra de ransomware detetada em meados de maio com uma campanha de extorsão e vigilância mais vasta.
Porquê hospedar a história
Atualmente, a maioria das campanhas de malware são distribuídas a partir de servidores alugados ou comprometidos pelos atacantes. O StopAndProtect adota uma abordagem diferente, afirmou o investigador Jaromír Hořejší. O seu ransomware, payloads, infraestrutura de comando e controlo e armazenamento de dados roubados estão todos alojados em domínios WordPress pelos quais os criminosos não tiveram de pagar ou comprometer.
Esta é a parte mais interessante da campanha, observou Hořejší. Um único servidor pode alojar o payload, redirecionar instruções para computadores comprometidos e armazenar ficheiros roubados. De acordo com a Security Affairs, um site invadido deixa de ser apenas um site invadido. Pode tornar-se uma plataforma de lançamento para ataques de outros agentes maliciosos.
Os sites estão mal mantidos, como descobriu a equipa de Hořejší ao analisar a instância do WordPress por detrás de um dos domínios maliciosos. O investigador encontrou quase 40 vulnerabilidades diferentes no software, algumas datadas de 2021.
Como funciona um esquema de phishing com CAPTCHA falso
Os detentores de criptomoedas devem estar especialmente atentos a esta ameaça. A campanha de phishing engana os utilizadores do Windows, fazendo-os acreditar que precisam de completar um teste CAPTCHA para aceder a um website. No entanto, o CAPTCHA é, na verdade, um golpe, e os utilizadores que tentarem completá-lo serão instruídos a copiar e colar um comando PowerShell na sua linha de comandos.
Este comando PowerShell iniciará o download de payloads . NET que permitirão ao atacantetracpalavras-passe guardadas, chaves de carteiras de criptomoedas e outros dados do computador comprometido.
O malware também pode copiar ficheiros de pastas de rede partilhadas e unidades USB, capturar ecrãs do computador infetado e até encriptá-lo e exigir o pagamento como resgate. De acordo com o Decrypt, os utilizadores devem desconfiar de sites que lhes pedem para colar ou digitar qualquer coisa e devem abandonar a página assim que virem tal pedido.
As carteiras de criptomoedas não são o único alvo desta campanha. Em muitos casos, os atacantes estão a utilizar o malware para roubar ficheiros do computador da vítima. Segundo os relatos, os agentes da ameaça estão a digitalizar os ficheiros no computador infetado e a selecionar os mais interessantes para roubar.
As versões mais recentes do malware têm ainda a capacidade de registar as teclas digitadas, tirar capturas de ecrã a cada 30 segundos e até utilizar o WhatsApp para fotografar a lista de contactos da vítima.
O que odentdos atacantes publicou na web
As informações mais valiosas sobre a campanha StopAndProtect vieram dos próprios servidores dos criminosos. Os atacantes tinham práticas de cibersegurança deficientes, deixando diretórios e ficheiros de registo expostos na internet. A Check Point suspeita que um dos computadores dos atacantes tenha sido comprometido e que o criminoso tenha carregadodentalguns ficheiros para o servidor.
Entre os ficheiros, Hořejší encontrou o código-fonte de uma ferramenta de automação que os atacantes estavam a utilizar para controlar os sites invadidos.
A ferramenta, escrita na linguagem Visual Basic 6, permite ao criminoso alternar remotamente a página de phishing CAPTCHA, redirecionar os visitantes do site e atualizar o malware nos sites comprometidos. Os ficheiros de texto anexados à ferramenta incluem também uma lista de quase 2.000 domínios que foram invadidos e transformados em sites de phishing.
Os ficheiros de registo também ajudaram o investigador a compreender a dimensão do ataque. A 24 de julho, a campanha já tinha infetado mais de 6.000 endereços IP únicos. Destes, 1.852 utilizadores estavam localizados nos Estados Unidos e 630 cada na Rússia e na Índia.
Entre meados de maio e o final de julho, os investigadores descobriram mais de 700 ficheiros comprimidos contendo dados roubados. Um dos diretórios abertos no servidor continha mais de 20.000 capturas de ecrã dos computadores das vítimas.
Se você está lendo isto, já está um passo à frente. Continue assim assinando nossa newsletter.
Perguntas frequentes
O que é o StopAndProtect?
O StopAndProtect é uma operação de cibercrimedentpela Check Point Research que combina a encriptação de ficheiros com o roubo de dados e opera a sua infraestrutura em quase 2.000 sites WordPress invadidos, em vez de servidores dedicados.
Como é que o malware StopAndProtect infeta um computador?
Um site WordPress comprometido exibe aos visitantes do Windows um CAPTCHA falso utilizando a técnica ClickFix, instruindo-os a executar um comando PowerShell que instala programas de download e, em seguida, componentes capazes de roubardent, frases-semente de carteiras de criptomoedas e ficheiros.
Quantos sistemas foram afetados pelo StopAndProtect?
A 24 de julho de 2026, a campanha tinha comprometido mais de 6.000 endereços IP únicos, incluindo 1.852 nos Estados Unidos e 630 cada na Rússia e na Índia, de acordo com a Check Point Research.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Ashish Kumar
Ashish Kumar é um jornalista especializado em criptomoedas e finanças com oito anos de experiência em redações. Ele cobre os acontecimentos nos mercados de criptomoedas, regulamentação, DeFie ecossistemas de exchanges. Trabalhou para a Coingape, Todayq e Newsroompost. Ashish possui um PGDP em Jornalismo em Inglês pelo IIMC. Ele também entrevistou figuras importantes do setor, incluindo Arthur Hayes, Yat Siu, Austin Federa e outros.
