2,000 被黑客攻击的WordPress网站成为加密货币用户的陷阱

Check Point Research称为StopAndProtect的一个犯罪集团，正利用近2,000个维护不善的WordPress博客托管恶意软件，从受感染的Windows计算机中窃取加密货币钱包种子、密码和文件。

对于加密货币持有者来说，最令人担忧的部分是，这些接管事件分布在看似标准商业博客或网站的合法站点上。

Check Point于8月18日发布了细节，将其在5月中旬发现的勒索软件样本与更大的勒索和监视活动联系起来。

为什么托管是故事的关键

大多数 恶意软件活动 如今是从攻击者租用或劫持的服务器分发的。研究人员Jaromír Hořejší表示，StopAndProtect采取了不同的路线。他们的勒索软件、有效载荷、命令和控制基础设施以及 被盗数据 都托管在犯罪分子无需付费或劫持的WordPress域名上。

这是该活动最有趣的部分，Hořejší指出。一个服务器可以托管有效载荷、重定向指令到受感染的计算机，并存储被盗文件。据Security Affairs报道，被黑客攻击的网站不再仅仅是一个被黑客攻击的网站。它可以成为其他不良行为者发动攻击的发射台。

这些网站维护不善，正如Hořejší的团队在决定查看其中一个恶意域名背后的WordPress实例时所发现的那样。研究人员在软件中发现了近40个不同的漏洞，可追溯到2021年。

假CAPTCHA钓鱼骗局的工作原理

加密货币持有者应特别警惕这种威胁。该钓鱼活动诱骗Windows用户相信他们需要完成CAPTCHA测试才能访问网站。然而，CAPTCHA实际上是一个骗局，尝试完成它的用户将被指示将PowerShell命令复制并粘贴到他们的命令提示符中。

此PowerShell命令随后将开始下载.NET有效载荷，允许攻击者从受感染的计算机中提取保存的密码、加密货币钱包种子和其他数据。

The 恶意软件 还可以从共享网络文件夹、USB驱动器复制文件，截取受感染计算机的屏幕截图，甚至对其进行加密并勒索赎金。据Decrypt报道，用户应警惕那些提示他们粘贴或输入任何内容的网站，并在看到此类请求时立即离开页面。

加密货币钱包并非该活动的唯一目标。在许多情况下，攻击者使用恶意软件从受害者的计算机中窃取文件。据 报告, 威胁行为者正在扫描受感染计算机上的文件，并选择最有趣的文件进行窃取。

较新版本的恶意软件还具备记录键盘输入、每30秒截取一次屏幕截图，甚至利用WhatsApp拍摄受害者通讯录照片的能力。

攻击者意外发布在网络上的内容

关于“StopAndProtect”行动最有价值的情报来自犯罪分子自己的服务器。攻击者的网络安全实践很差，导致目录和日志文件暴露在网络上。Check Point怀疑攻击者中的一台计算机已被入侵，且该罪犯意外将一些文件上传到了服务器上。

在文件当中，Hořejší发现了一个自动化工具的源代码，攻击者正利用该工具控制被黑网站。

该工具使用传统的Visual Basic 6编写，允许罪犯远程切换CAPTCHA钓鱼页面、重定向网站访客，并更新被入侵网站上的恶意软件。附加在工具中的文本文件还包含近2,000个已被黑并转化为钓鱼网站的域名列表。

日志文件也有助于研究人员了解攻击的规模。截至7月24日，该行动已感染超过6,000个唯一的IP地址。其中，1,852名用户位于美国，俄罗斯和印度各有630名。

在5月中旬至7月底之间，研究人员发现了700多个被盗文件的归档。服务器上的一个开放目录中包含了超过20,000张受害者计算机的截图。