Neue "StopAndProtect"-Kampagne aufgedeckt

Auch Cyberkriminelle machen Fehler, und manchmal profitieren Sicherheitsforscher davon. Ein fataler Fehler der  bei der Absicherung des Betriebs durch Cyberkriminelle gewährte Sicherheitsforschern einen tiefen Einblick in eine weitreichende kriminelle Infrastruktur, die mehr als 5.000 infizierte Computer und fast 2.000 kompromittierte WordPress-Websites kontrollierte.

Sicherheitsforscher von Check Point Research (CPR) haben eine ungewöhnliche Entdeckung bei der Analyse einer neu identifizierten Cyber-Kampagne namens "StopAndProtect" gemacht. In diesem Fall erlaubten gravierende Fehler bei der Absicherung des Betriebs ihrer Software einen seltenen und tiefen Einblick in die Infrastruktur der Cyberkriminellen.

Legitime WordPress-Websites als kriminelles Werkzeug

Anstatt auf eigens eingerichtete Befehls- und Kontrollserver (Command-and-Control) zu setzen, bauten die Betreiber von StopAndProtect eine hochgradig verteilte kriminelle Infrastruktur auf, indem sie reguläre, kompromittierte WordPress-Websites missbrauchten.

Mit einem globalen Marktanteil von über 43 Prozent im Jahr 2026 (Statista) ist WordPress ein äußerst attraktives Ziel für Cyberkriminelle, die sowohl Skalierbarkeit als auch eine scheinbare Legitimität für ihre Angriffe suchen. Die Täter nutzten diese gehackten Webseiten über den gesamten Lebenszyklus des Angriffs hinweg, um Schadsoftware zu hosten, weitere schädliche Nutzlasten auszuliefern, mit infizierten Geräten zu kommunizieren sowie gestohlene Dokumente, Screenshots und Aktivitätsprotokolle zu sichern.

Durch die Zweckentfremdung dieser vertrauenswürdigen Webseiten gelang es ihnen, ihre bösartigen Aktivitäten effektiv im legitimen Internet-Datenverkehr zu tarnen. Ein zentraler Treiber dieser Gefahr bleibt die mangelnde Update-Disziplin der Website-Betreiber. Im Rahmen der Untersuchung stieß Check Point Research beispielsweise auf eine kompromittierte Webseite, auf der eine WordPress-Version aus dem Jahr 2021 mit fast 40 bekannten, ungepatchten Schwachstellen lief.

Wenn Hacker sich selbst kompromittieren …

Während der Untersuchung entdeckten die Sicherheitsforscher von Check Point Research offene Verzeichnisse mit Protokolldateien, Screenshots der Opfer, gestohlene Dateien und Administrationswerkzeugen. Zudem konnten sie von Automatisierungstools, die die Kriminellen nutzen, den Quellcode sichern. Die Tools halfen den Kriminellen dabei, die rund 2.000 missbrauchten WordPress-Domains im großen Stil zu verwalten.

Die Entdeckung interner Entwicklungsdaten auf dem Sammel-Server deutet stark darauf hin, dass sich einer der Entwickler der Kampagne versehentlich selbst infiziert hat. Obwohl dieses verräterische Archiv nach wenigen Tagen vom Server entfernt wurde, ermöglichte diese temporäre Offenlegung den Forschern wertvolle und detaillierte Einblicke in die Funktionsweise und Organisation moderner cyberkrimineller Kampagnen. Wenn Angreifer solche folgenschweren Fehler begehen, erhalten Verteidiger einen unschätzbaren Vorteil beim Verständnis moderner Angriffskampagnen.

Vertrauen als Angriffsfläche: Die gefälschte CAPTCHA-Falle

Die Infektionskette der StopAndProtect-Kampagne basiert nicht auf hochkomplexen technischen Exploits, sondern nutzt gezielt menschliches Verhalten aus. Opfer stoßen im Internet auf gefälschte CAPTCHAs, die die sogenannte „ClickFix"-Social-Engineering-Technik verwenden. Hierbei werden Nutzer explizit dazu angewiesen, bestimmte Befehle zu kopieren, in ihr System einzufügen und auszuführen – im Glauben, eine reguläre Sicherheitsprüfung zu absolvieren.

Dadurch starten die Anwender unwissentlich eine mehrstufige Infektionskette, die im Hintergrund Schadcode von den kompromittierten WordPress-Websites nachlädt. Diese Taktik verdeutlicht einen gefährlichen Trend in der Bedrohungslandschaft, bei dem Angreifer psychologische Manipulation, vertrauenswürdige Web-Infrastrukturen und anpassbare, modulare Malware kombinieren, um maximale Reichweite bei minimaler Entdeckungsgefahr zu erzielen. Je nach den strategischen Zielen der Täter kann die eingesetzte Schadsoftware sensible Dokumente stehlen, Anmeldedaten ausspähen, Daten exfiltrieren oder den Weg für spätere Ransomware-Erpressungen ebnen.

„StopAndProtect zeigt eindrücklich, wie Angreifer Tausende schlecht gewartete WordPress-Websites in eine hocheffiziente, verteilte kriminelle Infrastruktur für die Verbreitung von Malware, Überwachung, Datendiebstahl und Ransomware verwandeln können", erklärt Eli Smadja, Head of Research bei Check Point Research. „Aufgrund unserer Forschungsergebnisse raten wir Organisationen dringend zur Vorsicht bei unerwarteten CAPTCHA-Aufforderungen, die dazu anleiten, Befehle zu kopieren, einzufügen oder auszuführen. Nutzer sollten ihre Geräte und Sicherheitssoftware stets auf dem neuesten Stand halten und jede Website sofort verlassen, die ungewöhnliche Schritte außerhalb des Browsers verlangt."

Empfehlungen für Unternehmen und Anwender

Um sich vor StopAndProtect und ähnlichen Kampagnen wirksam zu schützen, empfiehlt Check Point Research die Umsetzung folgender Sicherheitsmaßnahmen:

• Skepsis bei CAPTCHAs walten lassen: Anwender sollten grundlegend misstrauisch gegenüber Webseiten sein, die zum Kopieren, Einfügen oder Ausführen von Befehlen außerhalb des Browsers auffordern. Legitime CAPTCHA-Abfragen erfordern solche Schritte niemals.
• WordPress-Systeme patchen: Betreiber von WordPress-Websites müssen sicherstellen, dass sowohl die Kern-Installation als auch alle verwendeten Plugins kontinuierlich aktualisiert werden, um Sicherheitslücken umgehend zu schließen.
• Mitarbeiter sensibilisieren: Unternehmen sollten ihre Teams gezielt schulen, um neuartige Social-Engineering-Taktiken wie die ClickFix-Methode frühzeitig zu erkennen.
• Aktivitäts-Monitoring ausbauen: Sicherheitsteams sollten Systeme kontinuierlich auf ungewöhnliche PowerShell-Aktivitäten überwachen, da diese häufig zur Ausführung der kopierten Befehle genutzt werden.
• Präventionsbasierte Sicherheitsstrategie: Die Etablierung eines präventiven Sicherheitsansatzes („Prevention-First") ist entscheidend, um Angriffe abzuwehren, bevor Schadsoftware eine dauerhafte Präsenz (Persistenz) im Netzwerk etablieren oder sensible Daten stehlen kann.

Der vollständige Report Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtect vom 18. August 2026 enthält eine technische Analyse der StopAndProtect-Kampagne inklusive aller Indicators of Compromise (IOCs).