Des chercheurs en cybersécurité alertent sur une opération criminelle d’envergure, baptisée StopAndProtect. Le point le plus marquant : les attaquants utilisent un grand nombre de StopAndProtect sites WordPress compromis comme infrastructure pour héberger et faire tourner plusieurs composants malveillants, voler des informations et, selon les cas, activer du ransomware.
Selon les investigations relayées, l’attaque combine ingénierie sociale, chaînes d’exécution côté client et déploiements multi-étapes sur la machine de la victime. L’ensemble est orchestré de façon à piloter les hôtes infectés, collecter des traces et exfiltrer des documents, des captures d’écran et des journaux d’activité.
Une campagne basée sur des sites WordPress détournés
La campagne est suivie sous le nom StopAndProtect, notamment après la découverte d’une famille de ransomware portant le même identifiant au milieu du mois de mai 2026. Les chercheurs estiment qu’un volume proche de 2 000 sites WordPress aurait été compromis pour servir de relais à l’infrastructure malveillante.
Ces sites ne jouaient pas un rôle unique. Ils servaient à la fois à :
- déployer différentes étapes du malware ;
- agir comme serveurs de commande et contrôle (C2) pour envoyer des instructions ;
- stocker des journaux exfiltrés depuis les machines victimes.
Le détournement semble s’appuyer sur des sites mal maintenus. Dans plusieurs cas, les versions de WordPress étaient obsolètes et des extensions étaient installées, augmentant la surface d’attaque. Un exemple mentionné par les chercheurs indique un site fonctionnant avec une version datant de 2021, potentiellement exposée à de nombreuses failles connues.
Du leurre de type CAPTCHA à la prise de contrôle
Les attaques débutent par un scénario d’ingénierie sociale de type ClickFix. L’idée consiste à faire croire à l’utilisateur qu’il doit accomplir une action de sécurité, à travers de faux prompts style CAPTCHA. L’utilisateur se retrouve alors guidé vers l’exécution de commandes qui déclenchent une chaîne d’infection.
Concrètement, cette interaction mène à l’exécution d’une commande PowerShell, qui sert de conduit vers le déploiement de chargeurs supplémentaires en .NET. À partir de là, le processus s’achemine vers des modules plus “centraux” : logique de ransomware, propagation réseau, blocage d’écran et outils de collecte.
Pas toujours du ransomware : vol discret en priorité
Contrairement à une attaque “tout ransomware” classique, les chercheurs indiquent que l’opération ne débouche pas systématiquement sur un déploiement de ransomware. Dans la plupart des observations, les acteurs auraient surtout été vus en train de :
- voler des listes de fichiers ;
- cibler ensuite des fichiers spécifiques sur le système compromis.
Autrement dit, l’objectif initial semble souvent être l’exfiltration et la surveillance, le chiffrement pouvant intervenir selon les décisions opérées à distance.
La boîte à outils malveillante en plusieurs étapes
Le schéma d’infection décrit comporte plusieurs étapes. Les étapes intermédiaires incluent notamment des chargeurs .NET qui remontent des statistiques au serveur de commande et contrôle, tout en procédant à des vérifications (comme des contrôles liés à l’environnement) et à une journalisation accrue.
Dans la phase principale, six composantes sont mises en avant. Elles combinent des fonctions de persistance indirecte, de propagation et d’observation :
- SilentEncryptor : chiffrement, soit de l’ensemble des machines infectées, soit de celles correspondant à des noms d’hôtes précis.
- NetworkShareScanner : rôle de type ver SMB/USB pour étendre l’infection à d’autres appareils.
- VBS spreader : diffusion sur disques et supports amovibles, analyse du réseau et mouvement latéral via WMI.
- LockScreen : blocage de l’entrée utilisateur et affichage d’un message de rançon avec un code QR de paiement.
- SimpleChatProxy : application de chat sur mesure pour permettre l’échange entre la victime et l’opérateur.
- SilentDataCollector : génération d’une liste des lecteurs, chiffrement de cette liste puis exfiltration ; l’opérateur peut aussi transmettre un fichier de commandes pour guider le moissonnage de fichiers ciblés.
Pour renforcer la capacité de surveillance, des variantes plus récentes ajoutent des fonctions supplémentaires : keylogger avec détection d’adresses e-mail valides, exfiltration via WhatsApp, cartographie de partages réseau (avec montage/démontage), et captures d’écran à intervalle régulier.
Automatisation des recherches WhatsApp
Les chercheurs décrivent un mécanisme où l’opérateur envoie un mot-clé de recherche. La récupération est effectuée avec des automatisations côté web et côté application de bureau : la victime est d’abord laissée inactive, puis la recherche est déclenchée, le champ de saisie est rempli, l’information du contact est ouverte et une capture d’écran est prise.
Un plugin WordPress détourné pour ouvrir la porte à l’exécution distante
Une autre partie essentielle du dispositif repose sur une chaîne d’installation : un archive ZIP contenant un fichier PHP nommé uploader-installer.php permet d’installer un plugin WordPress “sur mesure”. L’objectif est de créer un must-use plugin (MU), c’est-à-dire un module chargé automatiquement.
Une fois dans le répertoire wp-content/mu-plugins, ce plugin autoriserait toute personne disposant d’identifiants valides à téléverser arbitrairement des fichiers, y compris des fichiers PHP, vers presque n’importe quel chemin sous la racine WordPress. L’upload de PHP est un levier qui peut mener à une exécution de code à distance.
Après l’intrusion, les chercheurs indiquent que le mécanisme se désactive et se supprime lui-même pour réduire les traces et compliquer la détection.
Manipulation de contenu et contournement selon le type de visiteur
Les sites compromis incluent aussi des plugins malveillants de type “vérification”. Ces modules superposent le contenu d’origine avec une fausse interface CAPTCHA destinée aux visiteurs non Windows. L’activation intervient après le téléversement d’un fichier nommé activator.php, puis le plugin se supprime ensuite.
Le résultat pour l’utilisateur : des invites inattendues l’incitant à copier, coller ou exécuter des actions qui sortent du cadre habituel du navigateur, ce qui facilite la compromission de machines supplémentaires.
Une opération exposée par des erreurs opérationnelles
Les chercheurs expliquent avoir pu obtenir des détails supplémentaires grâce à des “erreurs d’hygiène” de l’opérateur. Ces manquements ont exposé des journaux d’infection détaillés et des captures d’écran provenant de machines victimes, ainsi que des outils employés pour administrer massivement les sites compromis.
En parallèle, ils estiment que la campagne aurait touché plus de 6 000 adresses IP uniques. Les zones géographiques mentionnées par les données disponibles placent notamment les États-Unis en tête (environ 1 852), suivis de la Russie (environ 630) et de l’Inde (environ 630).
Pourquoi StopAndProtect vise surtout les sites mal maintenus
Le message global est clair : des sites WordPress insuffisamment entretenus peuvent être transformés en infrastructure criminelle distribuée. En pratique, la combinaison “versions obsolètes + plugins + contrôle de l’hébergement” permet aux attaquants de lancer des chaînes d’infection, de surveiller l’activité et de voler des données.
Les chercheurs insistent sur l’importance de traiter les prompts CAPTCHA inattendus comme des signaux d’alerte. Les utilisateurs sont invités à quitter immédiatement tout site qui leur demande d’accomplir des étapes inhabituelles en dehors du navigateur.
Réduire le risque : mesures concrètes
Pour limiter la probabilité d’être exposé à des campagnes de type StopAndProtect sites WordPress, les organisations et utilisateurs peuvent agir à plusieurs niveaux.
- Maintenir à jour WordPress et les extensions : l’obsolescence augmente fortement les chances d’exploitation.
- Surveiller les comportements anormaux sur le site : changements de contenu, redirections, ou formulaires de vérification “suspects”.
- Former les équipes et sensibiliser : un prompt inattendu demandant d’exécuter une commande ne relève pas d’une procédure normale.
- Vérifier les dispositifs : rester attentif aux signes d’activité malveillante (ralentissements, messages de sécurité incohérents, alertes de l’EDR/antivirus).
- Agir vite : en cas de suspicion d’intrusion, isoler la machine, analyser et traiter selon les procédures internes.
Conclusion
StopAndProtect illustre une tendance préoccupante : les attaquants ne se contentent pas d’infecter des victimes, ils transforment des StopAndProtect sites WordPress compromis en plateformes de distribution, de commande et de collecte. En combinant leurre de type ClickFix, déploiements multi-étapes et modules de surveillance, la campagne peut voler des données et, dans certains cas, déclencher un chiffrement et une demande de rançon.
La meilleure protection reste la même : mettre à jour les systèmes, surveiller les signaux anormaux et refuser toute action qui dépasse le comportement attendu du navigateur. En restant vigilant, vous réduisez considérablement l’impact de ce type d’opération.
Source: https://thehackernews.com/2026/08/stopandprotect-uses-nearly-2000-hacked.html
