-
La campaña podía robar credenciales y frases semilla asociadas a wallets de criptoactivos.
-
Más de 5.000 computadoras habrían sido afectadas por la campaña en distintos países.
Miles de sitios que parecían confiables terminaron sirviendo para distribuir malware y extraer información sensible de sus visitantes, una práctica que cada vez es más común en el entorno web.
Una campaña de ciberdelincuencia identificada como StopAndProtect comprometió cerca de 2.000 dominios basados en WordPress y los convirtió en parte de una infraestructura utilizada para distribuir malware y recopilar información. Según una investigación de Check Point Research, la operación habría afectado a más de 5.000 computadoras en todo el mundo.
Los investigadores identificaron más de 6.000 direcciones IP distintas vinculadas con la campaña. Estados Unidos reunía 1.852, mientras Rusia e India contabilizaban 630 cada uno, lo que evidencia el alcance global de la operación.
Los sitios vulnerados podían ser utilizados para alojar archivos maliciosos, enviar nuevas cargas a equipos infectados, mantener comunicación con ellos y almacenar datos obtenidos de las víctimas. Al tratarse de páginas legítimas, los atacantes podían ocultar parte de su actividad detrás de dominios que no necesariamente despertaban sospechas.
La operación quedó expuesta por un error de seguridad de los propios ciberdelincuentes. Investigadores encontraron directorios públicamente accesibles que contenían registros de malware, capturas de pantalla, archivos robados, capturas de transacciones de bitcoin y criptomonedas robadas, herramientas internas y código empleado para administrar los sitios comprometidos. Incluso existe la sospecha de que uno de los operadores pudo haber infectado accidentalmente su propio equipo.
El caso también pone de relieve el riesgo de utilizar versiones desactualizadas de WordPress. Check Point identificó un sitio comprometido que funcionaba con una versión de 2021 y presentaba cerca de 40 vulnerabilidades conocidas. Una vez tomado el control, podía incorporarse a la infraestructura utilizada por los atacantes.
La campaña también recurrió a ClickFix, una técnica de ingeniería social que presenta un falso CAPTCHA o una supuesta verificación de seguridad. La instrucción llevaba al usuario a copiar y ejecutar comandos en su equipo, lo que podía iniciar la infección y permitir el robo de contraseñas, credenciales y frases semilla de wallets de bitcoin y criptomonedas.
El alcance, sin embargo, no se limitaba a los criptoactivos. Según Check Point, la infraestructura podía emplearse para robar documentos, extraer credenciales, vigilar equipos e incluso desplegar virus.
El caso muestra cómo una página legítima puede convertirse en una herramienta para el ciberdelito. Para reducir riesgos, los usuarios deben desconfiar de cualquier CAPTCHA que solicite ejecutar comandos y mantener actualizados sus aplicaciones y plataformas de uso, así como sus complementos y sistemas de seguridad.
