Uma investigação da Check Point Research revelou uma série de falhas de segurança operacional dos próprios ciberatacantes que expôs registos de vítimas, capturas de ecrã, código fonte, ferramentas internas de gestão e provas de uma campanha que atingiu mais de 5.000 computadores em todo o mundo.
A análise da divisão de investigação de ameaças da Check Point identificou ainda ficheiros que referenciam cerca de 2.000 domínios WordPress comprometidos, o que oferece uma visão rara sobre a estrutura e a gestão de uma operação moderna de cibercrime.
“A StopAndProtect demonstra como os atacantes conseguem transformar milhares de sites WordPress com manutenção deficiente numa infraestrutura criminosa distribuída para distribuir malware, vigiar vítimas, roubar dados e lançar ransomware. Perante os resultados da nossa investigação, recomendamos que as organizações desconfiem de pedidos CAPTCHA inesperados que indiquem a cópia, colagem ou execução de comandos, mantenham os dispositivos e o software de segurança atualizados e abandonem de imediato qualquer site que solicite ações invulgares fora do navegador”, afirmou, citado em comunicado, Eli Smadja, Head of Research da Check Point Research.
Sites legítimos transformados numa infraestrutura criminosa
Como descrevem os investigadores da Check Point Research os ficheiros expostos revelaram muito mais do que malware. Mostraram a arquitetura que sustentava toda a operação. Em vez de dependerem apenas de servidores dedicados de comando e controlo, os responsáveis pela StopAndProtect construíram uma infraestrutura distribuída através da exploração de sites WordPress comprometidos. A dimensão e a presença global desta plataforma tornam estes sites particularmente atrativos para grupos que procuram escala e uma aparência de legitimidade.
Os sites comprometidos foram utilizados ao longo de diferentes fases do ataque para alojar malware, entregar novas cargas maliciosas, comunicar com dispositivos infetados e armazenar documentos roubados, capturas de ecrã e registos de atividade. Ao reutilizarem sites considerados legítimos, os atacantes criaram uma infraestrutura resiliente, capaz de se confundir com o tráfego normal da Internet.
A investigação evidencia também um problema persistente para os responsáveis por sites, dado que muitas instalações WordPress continuam sem correções de segurança ou dependem de versões antigas do software e dos respetivos módulos. Num dos casos analisados, a Check Point Research encontrou um site comprometido que utilizava uma versão do WordPress de 2021, associada a quase 40 vulnerabilidades conhecidas. Para os investigadores um site negligenciado pode, assim, passar a integrar uma operação criminosa muito mais vasta.
Os atacantes passaram a ser o elo mais fraco da operação
A infraestrutura concebida para evitar a deteção acabou por expor os próprios operadores, pois durante a investigação, os especialistas indicaram que encontraram diretórios acessíveis ao público que continham registos de malware, capturas de ecrã das vítimas, ficheiros roubados e ferramentas internas utilizadas para gerir a campanha. Foi igualmente recuperado o código fonte de soluções de automatização usadas para administrar em escala os sites WordPress comprometidos.
Os investigadores da Check Point Research suspeitam ainda que um dos operadores possa ter infetado acidentalmente o próprio computador. Esse erro terá levado ao carregamento de ficheiros internos de desenvolvimento para a mesma infraestrutura que recolhia os dados roubados às vítimas. O arquivo foi removido poucos dias depois, mas a exposição temporária permitiu compreender melhor a organização, as ferramentas e os métodos da campanha.
Um falso CAPTCHA dá início à cadeia de infeção
A StopAndProtect não começa com uma exploração técnica sofisticada. As vítimas encontram um falso CAPTCHA baseado na técnica de engenharia social ClickFix e recebem instruções para copiar, colar e executar comandos no próprio computador. Ao seguirem esses passos, ativam sem saber uma cadeia de infeção com várias etapas, que descarrega malware adicional a partir de sites WordPress comprometidos.
Para a Check Point Research a campanha reflete uma mudança mais ampla no panorama das ameaças. Os atacantes combinam engenharia social, infraestruturas consideradas de confiança e malware modular para ampliar o alcance e reduzir a probabilidade de deteção. O ransomware é apenas um dos desfechos possíveis. O mesmo conjunto de ferramentas pode roubar documentos e credenciais ou extrair informação sensível de forma discreta, consoante os objetivos dos responsáveis.
Prevenção antes do ataque ter sucesso
As organizações podem reduzir o risco através de uma estratégia de segurança orientada para a prevenção, capaz de travar o ataque antes de o malware ganhar persistência ou de os dados sensíveis serem roubados. A Check Point Research recomenda:
- Manter as instalações WordPress, os temas e os módulos sempre atualizados.
- Formar os utilizadores para reconhecer técnicas de engenharia social associadas ao ClickFix.
- Monitorizar atividade suspeita no PowerShell e a execução de comandos iniciados a partir do navegador.
- Abandonar qualquer site que peça a cópia, a colagem ou a execução de comandos fora do navegador.
- Adotar uma arquitetura de cibersegurança orientada para a prevenção, com proteção coordenada de utilizadores, dispositivos, redes e ambientes cloud.
Para os utilizadores particulares, a recomendação é igualmente clara. Um CAPTCHA legítimo nunca deve exigir a execução de comandos no computador. Qualquer pedido desta natureza deve ser considerado um sinal de alerta.
A Check Point Research indicou que a investigação StopAndProtect oferece uma visão rara do interior de uma operação moderna de cibercrime, ao revelar como os atacantes transformaram milhares de sites WordPress comprometidos em instrumentos de ataque e como os seus próprios erros operacionais expuseram a infraestrutura da campanha.
