Quase 2.000 sites WordPress comprometidos usados para distribuir malware que rouba criptomoedas

Uma vasta operação criminosa utilizou quase 2.000 sites WordPress comprometidos para distribuir malware, roubar dados sensíveis e implementar ransomware, segundo um relatório divulgado esta terça-feira pela empresa de cibersegurança Check Point Research. Os sites pirateados alojavam software malicioso, enviavam comandos para computadores infetados e armazenavam documentos roubados, capturas de ecrã e registos de atividade das vítimas.

A Decrypt avança que o investigador Jaromír Horejsi, da Check Point, explicou que a operação não depende de uma única peça de malware, mas sim de um conjunto completo de ferramentas criminosas a trabalhar em conjunto. Alguns componentes encriptam ficheiros, outros roubam documentos de forma silenciosa ou bloqueiam o ecrã, enquanto outro atua como chat em tempo real entre os atacantes e as suas vítimas.

O malware tem como alvo utilizadores de Windows e começa com uma falsa verificação CAPTCHA num site comprometido. A técnica ClickFix instrui as vítimas a executar um comando PowerShell que instala software malicioso capaz de roubar credenciais, frases-semente de carteiras de criptomoedas, propagar-se através de redes e dispositivos USB, bloquear ecrãs e implementar ransomware. O relatório não esclareceu se utilizadores de macOS e Linux são afetados.

Falhas na segurança operacional dos atacantes permitiram aos investigadores da Check Point um acesso mais profundo à operação. Horejsi revelou que os erros do programador expuseram numerosos ficheiros, incluindo registos detalhados de infeções de máquinas das vítimas, capturas de ecrã de computadores infetados e código-fonte de ferramentas usadas pelos criminosos para gerir em massa os sites comprometidos.

Até 24 de julho, a campanha tinha comprometido mais de 6.000 endereços IP únicos, incluindo 1.852 nos Estados Unidos, 630 na Rússia e 630 na Índia. Os diretórios expostos continham registos de infeção e capturas de ecrã dos computadores das vítimas. Os investigadores conseguiram recolher mais de 31.000 capturas de ecrã entre meados de maio e o final de julho, juntamente com mais de 700 arquivos contendo dados roubados, incluindo documentos, palavras-passe e ficheiros de carteiras de criptomoedas.

A Check Point acredita que o agente da ameaça também se infetou acidentalmente. Horejsi observou que foram recolhidas algumas centenas de ficheiros extraídos das máquinas das vítimas, e num caso o ator da ameaça terá infetado a si próprio, uma vez que um arquivo continha vários ficheiros invulgares com conteúdo suspeito. Esta descoberta ajudou os investigadores a compreender melhor como o atacante opera e quantos domínios comprometidos provavelmente controla.

A técnica ClickFix tem surgido em várias outras campanhas de malware este ano. Em maio, um site de vestuário associado ao diretor do FBI Kash Patel foi retirado offline depois de visitantes macOS terem sido alegadamente visados com malware ClickFix que os levava a instalar software capaz de roubar dados de navegadores, tokens de sessão e carteiras cripto. Em julho, a Jamf Threat Labs descobriu malware do tipo ClickFix a ser distribuído através de um anúncio patrocinado no X, que redirecionava utilizadores para um site que os instruía a executar um comando que instalava uma variante do infostealer Atomic. Em agosto, investigadores da Microsoft alertaram que hackers estavam a usar sites comprometidos e contratos inteligentes na BNB Chain para distribuir malware através de CAPTCHAs falsos.