Check Point Research a identifié l’opération StopAndProtect, qui a exploité près de 2 000 domaines WordPress pour livrer des charges malveillantes et voler des données. Le mécanisme social d’ingénierie utilisé pousse les visiteurs Windows à exécuter une commande.
Comment StopAndProtect détournait des sites WordPress pour distribuer du code
Les enquêteurs ont trouvé une extension malveillante nommée verify déposée dans wp-content/plugins/verify/, contenant trois scripts PHP et un fichier texte qui remplace le contenu visible par un faux captcha. Le plugin intègre un composant de type must-use qui crée un point de terminaison REST dissimulé à wp-sec/v1/upload, ouvrant la voie à des téléversements PHP à distance.
Un serveur mal configuré a livré une arborescence accessible, ce qui a permis à Check Point d’extraire journaux et fichiers. Les fichiers suspects repérés incluent proxy.php, store.php et verify.php, signalés comme indicateurs d’infection par les chercheurs.
Beaucoup de sites étaient vulnérables par manque de maintenance : un exemple observé tournait sur une version 2021 de WordPress, avec près de 40 vulnérabilités connues.
La manipulation ClickFix : forcer l’exécution de commandes sur Windows
Plutôt que de demander une simple case à cocher, l’attaque affichait un faux écran de vérification imitant Cloudflare et invitait l’utilisateur à ouvrir Exécuter (Win+R) pour coller une commande PowerShell. Cette technique de manipulation est connue sous le nom de ClickFix.
Le procédé pousse l’étape d’infection hors du navigateur : une fois la commande lancée, deux stades supplémentaires téléchargent des chargeurs .NET, conduisant aux modules principaux. Les victimes voient un écran de vérification familier, tandis que l’ordinateur exécute silencieusement des chargeurs.
Ce contournement social repose sur la confiance visuelle et des détails d’interface soigneusement reproduits pour réduire la vigilance des utilisateurs Windows.
Arsenal déployé après l’exécution : ransomware, ver SMB et voleur
Les composants identifiés comprennent le ransomware SilentEncryptor, le ver de propagation NetworkShareScanner ciblant partages SMB et clés USB, un diffuseur en VBS, un module LockScreen, un utilitaire SimpleChatProxy et le voleur SilentDataCollector.
Les binaires .NET et les scripts VBS coopèrent pour étendre la compromission locale et extraire des fichiers. Le ver SMB amplifie l’impact en explorant réseaux internes, tandis que SilentDataCollector collecte et archive données sensibles.
Ces briques permettent aux opérateurs de choisir entre exfiltration discrète ou chiffrement destructeur, d’où le nom collectif StopAndProtect qui couvre l’ensemble de l’opération.
Portée opérationnelle : données collectées et indicateurs chiffrés
Au 24 juillet 2026, Check Point recensait plus de 6 000 adresses IP uniques associées à la campagne, environ 31 000 captures d’écran et plus de 700 archives de données volées, ainsi que plus de 20 000 fichiers individuels exfiltrés depuis la mi-mai.
Les groupes d’IP les plus nombreux provenaient des États-Unis, de la Russie et de L’Inde, sans que la géolocalisation n’implique nécessairement l’origine des opérateurs.
Les administrateurs WordPress doivent rechercher les chemins wp-content/plugins/verify/, wp-content/mu-plugins/ et des noms de scripts inhabituels comme wp-uploading.php ou wp-delete.php.
Sources
- WordPress : une attaque JavaScript compromet 1000 sites et multiplie les backdoors
- WordPress : une attaque JavaScript compromet 1000 sites et multiplie les backdoors
- Un malware furtif cherche à prendre le contrôle des sites WordPress
- Des sites WordPress compromis à cause de cette faille dans Elementor Pro
