Una operación de ciberdelincuencia utilizó sitios WordPress comprometidos para distribuir malware, controlar computadoras infectadas y almacenar documentos, contraseñas y capturas de pantalla de sus víctimas. Check Point identificó más de 6,000 direcciones IP afectadas por la campaña.
Una operación de ciberdelincuencia denominada StopAndProtect convirtió cerca de 2,000 sitios construidos con WordPress en una infraestructura distribuida para propagar malware, controlar computadoras infectadas y almacenar información robada a las víctimas, de acuerdo con una investigación publicada por Check Point Research el 18 de agosto.
Los investigadores detectaron inicialmente una familia de ransomware con ese nombre a mediados de mayo de 2026, pero el análisis posterior reveló una operación considerablemente más amplia. Los atacantes utilizan diferentes herramientas capaces de cifrar archivos, robar documentos y credenciales, propagarse a otros dispositivos, bloquear la pantalla de una computadora e incluso mantener comunicación directa con las víctimas. El ransomware, además, no se instala en todos los equipos comprometidos: en numerosos casos, los operadores se limitan a extraer información silenciosamente.
La investigación muestra además una segunda capa de víctimas. Los sitios WordPress previamente vulnerados no son solamente objetivos del ataque, sino que posteriormente son reutilizados por los ciberdelincuentes como servidores para alojar componentes del malware, transmitir instrucciones a las máquinas infectadas y recibir archivos, registros de actividad y capturas de pantalla obtenidos de otros usuarios.
Check Point encontró archivos que enumeraban cerca de 2,000 dominios WordPress comprometidos, mientras que los registros internos de la operación contabilizaban, hasta el 24 de julio, más de 6,000 direcciones IP únicas afectadas. The Hacker News reportó que 1,852 correspondían a Estados Unidos, 630 a Rusia y otras 630 a India. Las dos cifras representan elementos distintos de la campaña: los casi 2,000 dominios corresponden a sitios utilizados como infraestructura, mientras que las direcciones IP ofrecen una aproximación a los dispositivos o conexiones alcanzadas por el malware.
Un CAPTCHA falso inicia la infección
La cadena de infección utiliza una técnica de ingeniería social conocida como ClickFix. Al visitar uno de los sitios comprometidos, el usuario puede encontrarse con un CAPTCHA falso que le pide realizar acciones fuera del navegador. Si sigue las instrucciones, termina ejecutando un comando de PowerShell que descarga las siguientes etapas del ataque.
A partir de ahí se ejecutan diferentes descargadores y cargadores desarrollados en .NET hasta instalar los componentes principales del conjunto malicioso. Entre ellos se encuentran una herramienta para cifrar archivos, mecanismos capaces de propagarse mediante dispositivos USB y recursos compartidos en red, un bloqueador de pantalla, un ladrón de credenciales y una aplicación de chat utilizada para establecer comunicación entre el operador y la computadora comprometida.
Uno de los componentes más invasivos es SilentDataCollector, diseñado para elaborar una lista de los archivos disponibles en las unidades conectadas al equipo y enviarla a los servidores controlados por los atacantes. Posteriormente, el operador puede seleccionar archivos específicos para su extracción. Versiones más recientes incorporan además registro de pulsaciones del teclado, búsqueda de direcciones de correo electrónico, acceso a información de WhatsApp y capturas periódicas de la actividad del usuario.
El malware puede realizar capturas de pantalla aproximadamente cada 30 segundos mientras la víctima está activa. También admite órdenes para buscar un contacto determinado tanto en WhatsApp Web como en la aplicación de escritorio: cuando detecta que el usuario está inactivo, puede colocar el nombre indicado por el atacante en el buscador, abrir la información correspondiente y obtener una captura de pantalla.
Miles de capturas y archivos quedaron expuestos
Una serie de errores de seguridad operacional cometidos por los propios atacantes permitió a Check Point reconstruir una parte considerable de la campaña. Algunos de los servidores comprometidos mantenían directorios abiertos o scripts que exponían listados de archivos, lo que facilitó a los investigadores acceder a registros producidos por las infecciones y a material extraído de las computadoras afectadas.
Durante el periodo de observación, entre mediados de mayo y finales de julio, Check Point recopiló aproximadamente 31,000 capturas de pantalla. Las imágenes mostraban escritorios de usuarios, documentos abiertos, páginas web visitadas, mensajes de rescate, programas antivirus y archivos que habían sido cifrados. Los investigadores recuperaron además más de 700 archivos comprimidos almacenados en servidores WordPress y asociados con información sustraída de las víctimas.
La investigación produjo incluso un hallazgo inusual: Check Point considera posible que uno de los operadores se infectara accidentalmente con su propio malware. Entre los archivos obtenidos apareció material del entorno de trabajo del atacante, incluido el código de una herramienta desarrollada para administrar de manera masiva los sitios WordPress comprometidos y varios archivos con listas de dominios.
Esa herramienta permitía subir y eliminar archivos en los sitios vulnerados, activar o desactivar los falsos CAPTCHA y administrar otros componentes de la infraestructura. Uno de los archivos contenía alrededor de 1,400 dominios en los que se había detectado el CAPTCHA malicioso, mientras otros registros contenían cientos de sitios adicionales, lo que permitió a los investigadores estimar la dimensión de la red.
No hay una sola vulnerabilidad detrás de la campaña
El reporte no atribuye la operación a una única vulnerabilidad de WordPress. Check Point señala, en cambio, el riesgo que representan las instalaciones y complementos que permanecen sin actualizar. Al analizar uno de los sitios comprometidos, los investigadores encontraron que utilizaba una versión de WordPress de 2021 y presentaba cerca de 40 problemas de seguridad potenciales, entre ellos fallas relacionadas con autenticación, carga de archivos e inyección SQL.
Una vez dentro de determinados sitios, los atacantes instalaron además complementos maliciosos y herramientas ocultas que permitían continuar subiendo archivos, incluidos scripts PHP capaces de ejecutar código. Algunos de esos componentes se eliminaban o desactivaban posteriormente para dificultar su detección.
El caso muestra cómo un conjunto de sitios legítimos y mal mantenidos puede terminar convertido en una infraestructura criminal distribuida. En StopAndProtect, las páginas comprometidas sirven al mismo tiempo como puntos de distribución del malware, servidores de mando y control y almacenes temporales para información robada, mientras los visitantes pueden convertirse en nuevas víctimas mediante una sencilla pantalla que simula ser una comprobación CAPTCHA.
Check Point recomendó desconfiar de cualquier CAPTCHA o página web que solicite copiar, pegar o ejecutar comandos en el sistema operativo. Las comprobaciones legítimas realizadas dentro de un navegador no requieren que el usuario abra PowerShell, una terminal u otra herramienta del sistema para demostrar que es una persona.
