Check Point Research verfolgt die groß angelegte Kampagne unter dem Namen StopAndProtect, nachdem das Unternehmen Mitte Mai 2026 eine gleichnamige Ransomware-Familie entdeckt hatte. Jaromír Hořejší von Check Point Research sagte, die Operation stütze sich nicht auf „ein einzelnes Stück Schadsoftware, sondern auf ein ganzes Werkzeugset krimineller Software, das zusammenarbeitet“. Einige Komponenten verschlüsselten Dateien, andere stählen unauffällig Dokumente oder sperrten den Bildschirm, ein weiteres Modul diene als Live-Chat zwischen Angreifern und Opfern.
Die Infrastruktur der Gruppe besteht laut Check Point aus einem Verbund gehackter WordPress-Seiten mit mehreren Aufgaben. Schätzungsweise fast 2.000 WordPress-Websites wurden im Rahmen der Kampagne kompromittiert. Viele davon nutzten nicht nur veraltete WordPress-Versionen, sondern auch installierte Plugins. Eine der betroffenen Seiten lief etwa mit einer WordPress-Version aus dem Jahr 2021 und war damit laut Bericht für rund 40 verschiedene Schwachstellen anfällig.
Die manipulierten Websites zeigen Besuchern gefälschte CAPTCHA-Aufforderungen im Stil von ClickFix an und infizieren sich damit gewissermaßen selbst. Der dadurch ausgelöste PowerShell-Befehl stößt einen mehrstufigen Ablauf an, an dessen Ende die Hauptkomponenten der Schadsoftware nachgeladen werden. Dazu zählen Ransomware, SMB-/USB-Wurm, LockScreen, VBS-Spreader, Chat-Werkzeug und ein Stealer. Check Point betont jedoch, dass die Täter meist verdeckt Dateilisten und anschließend bestimmte Dateien exfiltrieren, statt immer Ransomware auszurollen.
Neuere Versionen des Stealers verfügen laut Check Point über zusätzliche Funktionen. Genannt werden ein Keylogger mit Erkennung gültiger E-Mail-Adressen, die Exfiltration aus WhatsApp, das Ein- und Aushängen von Netzwerkfreigaben sowie Bildschirmaufnahmen der Nutzeraktivität im Abstand von 30 Sekunden. Nach Angaben des Unternehmens können die Täter dabei ein WhatsApp-Suchstichwort vorgeben; unterstützt werden Web- und Desktop-Version. Der Stealer warte, bis das Opfer inaktiv sei, fokussiere dann automatisiert das Suchfeld von WhatsApp, gebe das vorgegebene Stichwort beziehungsweise den Kontaktnamen ein, öffne die Kontaktinformationen und erstelle davon einen Screenshot.
Weitere Untersuchungen ergaben laut Check Point, dass die Angreifer ein ZIP-Archiv mit der PHP-Datei „uploader-installer.php“ einsetzen, um ein eigenes WordPress-Plugin zu installieren. Dieses erzeugt eine Must-Use-Datei im Verzeichnis „wp-content/mu-plugins“. Das Plugin erlaubt jedem mit gültigen Zugangsdaten, beliebige Dateien einschließlich PHP-Dateien in nahezu jeden Pfad unterhalb des WordPress-Stammverzeichnisses hochzuladen. Das Hochladen von PHP-Dateien kann den Weg für Remotecodeausführung ebnen. Nach der Manipulation einer Seite deaktiviert sich das Plugin selbst und löscht sich, um einer Entdeckung zu entgehen.
Zu den hochgeladenen Dateien gehören nach Angaben von Check Point auch von Opfersystemen gestohlene Daten. Von Mitte Mai bis Ende Juli 2026 identifizierten die Forscher mehr als 700 Archive. Darunter befanden sich interne Entwicklungsdateien und Werkzeuge, was laut Bericht darauf hindeutet, dass die Betreiber sich offenbar versehentlich selbst infiziert haben. Dazu zählt das benutzerdefinierte Automatisierungswerkzeug „fMain.frm“, das zur Verwaltung kompromittierter WordPress-Seiten dient. Eli Smadja von Check Point sagte, StopAndProtect zeige, wie Angreifer tausende schlecht gewartete WordPress-Seiten in eine verteilte kriminelle Infrastruktur für Malware-Verteilung, Überwachung, Datendiebstahl und Ransomware verwandeln könnten.
Die kompromittierten Websites enthalten zudem ein bösartiges Plugin namens „verify“, das den ursprünglichen Inhalt für Nicht-Windows-Besucher mit einer gefälschten CAPTCHA-Einblendung überlagert. Aktiviert wird es nach dem Hochladen der Datei „activator.php“, die sich anschließend selbst löscht. Das Automatisierungswerkzeug der Täter ermöglicht laut Check Point die Massenverwaltung kompromittierter WordPress-Seiten, darunter das Hochladen oder Löschen zusätzlicher Dateien, das Aktivieren oder Deaktivieren der gefälschten ClickFix-CAPTCHAs sowie das Ein- und Ausschalten des Cachings.
Stand 24. Juli 2026 hat die Kampagne laut Check Point mehr als 6.000 eindeutige IP-Adressen kompromittiert. Die meisten davon entfallen auf die USA mit 1.852, Russland mit 630 und Indien mit 630.