Check Point: כ-2,000 אתרי וורדפרס פרוצים משמשים תשתית למבצע כופרה וגניבת מידע
חוקרי Check Point חשפו את StopAndProtect, מבצע שמשתמש באתרי וורדפרס פרוצים כדי להפיץ נוזקות דרך CAPTCHA מזויף, לאחסן מידע גנוב ולהשאיר באתר דלת אחורית נסתרת.
TL;DR בקצרה
- Check Point Research פרסמה ב-18 באוגוסט ניתוח של StopAndProtect, שפעיל לפחות מאמצע מאי 2026.
- ברשימות של המפעילים הופיעו כ-2,000 דומיינים פרוצים, ונכון ל-24 ביולי החוקרים ספרו מעל 6,000 כתובות IP נגועות.
- ההדבקה מתחילה ב-CAPTCHA מזויף שמבקש מהגולש להדביק ולהריץ פקודת PowerShell.
- התוקפים מתקינים באתר הפרוץ תוסף סמוי בשם wp-sec.php, שלא מופיע ברשימת התוספים של וורדפרס.
האתר של העסק שלכם יכול לשרת פושעים בלי שתדעו על כך. חוקרי Check Point Research חשפו ב-18 באוגוסט את StopAndProtect, מבצע שמנצל כ-2,000 אתרי וורדפרס פרוצים. Check Point Research היא זרוע המחקר של חברת האבטחה הישראלית. לפי הדוח, האתרים הפרוצים מפיצים נוזקות ומעבירים פקודות למחשבים נגועים. בנוסף, הם מאחסנים מידע שהתוקפים גנבו מהקורבנות.
המבצע משלב הצפנת קבצים וסחיטה עם גניבה שקטה של מסמכים. דווקא טעויות של המפעיל חשפו את היקפו.
CAPTCHA מזויף: כך StopAndProtect מדביק מחשבים
ההדבקה של StopAndProtect מתחילה בטכניקה בשם ClickFix. גולש נכנס לאתר לגיטימי פרוץ ורואה בדיקת ״אני לא רובוט״ רגילה לכאורה. אלא שבמקום לסמן תיבה, האתר מבקש ממנו להדביק פקודה בחלון ההפעלה של Windows ולהריץ אותה. האתר כבר העתיק את הפקודה ללוח שלו. בפועל זהו סקריפט PowerShell שמוריד שלבים נוספים ומטעין אותם ישירות לזיכרון.
בסוף השרשרת מגיעה ערכת כלים מלאה. לפי הדוח, היא כוללת רכיב שמצפין קבצים ותולעת שמתפשטת בתיקיות שיתוף ברשת ובהתקני USB. יש בה גם מסך נעילה עם דרישת תשלום וקוד QR, וכלי צ׳אט בין המפעיל לקורבן. רכיב נוסף גונב מידע. בגרסאות החדשות הוא רושם הקשות, אוסף אנשי קשר מ-WhatsApp ומצלם את המסך כל 30 שניות. Decrypt, שסיקר את הדוח, מוסיף שהנוזקה גונבת גם קבצי ארנקי קריפטו ומילות שחזור.
לא כל קורבן מקבל את רכיב ההצפנה. לפי Check Point, אצל רבים מהם המפעילים רק מושכים רשימת קבצים ושולפים מסמכים לפי בחירה. החוקרים מעריכים שזו עבודה ידנית של אדם שיושב מול המקלדת ובוחר מה לקחת.
נכון ל-24 ביולי, החוקרים ספרו מעל 6,000 כתובות IP ייחודיות. הכתובות מגיעות בעיקר מארה״ב (1,852), מרוסיה (630) ומהודו (630). עם זאת, החוקרים מדגישים שלא כולן שייכות לקורבנות ודאיים. חלקן שייכות לסביבות בדיקה ולחוקרים. מאמצע מאי ועד סוף יולי, החוקרים אספו כ-31 אלף צילומי מסך של קורבנות. הם אספו גם מעל 700 ארכיונים של מידע גנוב.
הדלת האחורית של StopAndProtect בתיקיית mu-plugins
החלק שרלוונטי ישירות לבעלי אתרים קורה בשרת. לפי הדוח, התוקפים מריצים באתר סקריפט התקנה. הסקריפט יוצר תוסף מסוג must-use בשם wp-sec.php, בתיקייה wp-content/mu-plugins. תוספים מהסוג הזה רצים בכל בקשה לאתר. הם גם לא מופיעים במסך התוספים הרגיל של וורדפרס. לכן בעל אתר שנכנס ללוח הבקרה לא יראה דבר חריג.
התוסף פותח נקודת קצה סמויה בממשק ה-REST של האתר. הגישה אליה דורשת פרטי התחברות קבועים מראש. דרכה אפשר להעלות קבצים כמעט לכל מקום באתר, כולל קבצי PHP שאפשר להריץ. אחרי ההתקנה, המתקין מכבה ומוחק את עצמו.
הדוח לא קובע איך התוקפים פרצו לאתרים מלכתחילה. לפי החוקרים, אתרי וורדפרס רבים פגיעים כי בעליהם לא מעדכנים את הליבה ואת התוספים. למשל, באחד האתרים הפרוצים רצה גרסת וורדפרס מ-2021. לגרסה הזו כמעט 40 חולשות ידועות, ובהן הזרקת SQL ועקיפת הזדהות.
את רוב המידע השיגו החוקרים בזכות כשלי אבטחה של המפעיל עצמו. הוא השאיר חשופים יומני הדבקה, צילומי מסך וקוד של הכלי שמנהל את האתרים הפרוצים. לפי Check Point, במקרה אחד המפעיל כנראה אף הדביק את עצמו.
מה זה אומר עבורכם
- בדקו את mu-plugins: היכנסו דרך מנהל הקבצים של האחסון או FTP לתיקייה
wp-content/mu-plugins. מצאתם שם wp-sec.php או קבצים שאתם לא מזהים? התייחסו לאתר כפרוץ. - עדכנו הכל: ליבת וורדפרס, תוספים ותבנית. אתר שאיש לא עדכן שנים הוא יעד מועדף לתשתית כזו. זה נכון גם כשהאתר עובד כרגיל.
- חפשו קבצי PHP חריגים: במיוחד בתיקיית uploads, שאמורה להכיל בדרך כלל רק תמונות ומסמכים. כלי הסריקה של חברת האחסון או תוסף אבטחה יכולים לעזור.
- הדריכו עובדים: אתר לגיטימי לא יבקש להדביק פקודה בחלון ההפעלה של Windows. בדיקת ״אני לא רובוט״ אמיתית לא דורשת PowerShell. מי שעשה זאת צריך לנתק את המחשב מהרשת ולפנות לאיש ה-IT.
- אם האתר פרוץ: אל תסתפקו במחיקת הקובץ החשוד. החליפו את כל הסיסמאות: מנהל, FTP ומסד נתונים. בדקו אם הופיעו משתמשים חדשים, ושחזרו מגיבוי נקי אחרי בדיקה מלאה.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
למה גם אתר קטן בסיכון
קל להניח שאתר תדמית של עסק קטן לא מעניין אף אחד. אבל StopAndProtect מראה את ההפך. התוקפים לא מחפשים את המידע שבאתר, אלא את השרת ואת המוניטין שלו. אתר לגיטימי עם היסטוריה נקייה עוזר להעביר נוזקות ולהסתיר שרתי שליטה. בעל האתר עלול לגלות את הבעיה רק כשחברת האחסון או הדפדפנים יסמנו את האתר כמסוכן.
מקורות והרחבה
- Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtectCheck Point Research
- Nearly 2,000 Hacked WordPress Sites Turned Into Criminal InfrastructureDecrypt
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
