セキュリティ研究機関は、改ざんされた何千ものWordPressウェブサイトを犯罪基盤として悪用する新たなグローバルサイバー攻撃手法「StopAndProtect」を発見・公開しました。
このキャンペーンは、単にランサムウェアを散布するだけでなく、標的型情報窃取や遠隔監視、端末の遠隔操作などを組み合わせた非常に柔軟で多機能な攻撃ツールキットを用いて実行されています。
攻撃者の管理サーバからは世界中から6,000件以上のユニークIPアドレス（セキュリティ研究者の検証環境や被害者の接続を含む）のログが確認されており、広範なボットネット運用が行われていたことが分かっています。
特徴をみてみましょう。
- 巧妙な初期侵入手法（偽CAPTCHAとClickFix）
被害者は、改ざんされた正規のWordPressサイトにアクセスした際に表示される「偽のCAPTCHA（人間確認）」画面に誘導されます。
この画面（いわゆるClickFix攻撃手法）はユーザに対し「認証を完了するために指示されたコマンドをコピーし、端末のコマンドライン（PowerShellなど）に貼り付けて実行する」よう誘導します。
ブラウザのセキュリティ警告を回避し、ユーザ自身の無警戒な操作を利用してマルウェアを起動させるソーシャルエンジニアリングの手法です。 - WordPressサイトのインフラ化と永続的バックドア
攻撃者は、脆弱なプラグインや古いバージョンのまま運用されている約2,000のWordPressサイトをハッキングし、マルウェアの配信、C2（指令・制御）サーバ、被害データの保管庫として多目的に活用しています。
サイト内には隠されたREST APIエンドポイントやバックドアスクリプト（wp-sec.php等）が植え付けられており、攻撃者が任意のPHPファイルを自由に取り扱うことで、サイトを長期的にコントロールできる状態が作られています。 - 多彩な攻撃モジュールと柔軟なツールキット
「StopAndProtect」は単一のマルウェアではなく、状況に応じて攻撃内容を切り替えるモジュール構造を持っています。
主なコンポーネントには以下が含まれます。- ランサムウェア / 画面ロック（LockScreen）： ファイルの暗号化や画面のロックを行い、QRコード等で身代金を要求する。
- 情報窃取（Stealer）： ドキュメントの検索、キー入力ログの記録（キーロガー）、30秒おきのデスクトップスクリーンショット撮影、WhatsApp会話データの収集などを行う。
- 感染拡大（Spreader）： ネットワーク共有ドライブや接続されたUSBメモリを巡回し、WMIやSMBを通じてネットワーク内を横展開する。
- 双方向チャット機能： 攻撃者と被害者が直接やり取りするためのカスタムチャットプロキシ。
- 攻撃者側の運用の隙（OPSEC失敗）による全貌発覚
本キャンペーンの全貌が急速に解明された背景には、攻撃者の運用上のケアレスミス（OPSECの失敗）があります。
攻撃者が設置したC2サーバ上のPHPスクリプトの設定不備によりディレクトリインデックス（Directory Indexing）が有効化されており、第三者からログやファイルの一覧が丸見えの状態になっていました。
さらに、攻撃者自身が自分の開発端末を自作マルウェアに感染させ、自作自動化管理ツールのソースコードや内部ログを誤ってC2サーバにアップロードしてしまうという致命的なミスを犯したことで、ボットネットの管理手法や管理サイト一覧まで判明するに至りました。
「StopAndProtect」の事例は、管理が不十分なウェブサイトが単なる改ざん被害にとどまらず、他者への攻撃拠点や不法データのストレージ施設へとサイレントに兵器化される脅威を顕著に示しています。
ウェブサイト管理者はCMS（WordPress）や各種プラグインを常時最新の状態に維持し、不要なファイルや未承認のアクセスポイントがないか定期的な監査を実施することが不可欠です。
また一般的なPCユーザの立場としては、「ブラウザやウェブサイトから要求される端末コマンドのコピー＆ペースト（PowerShell等の実行）」には絶対に応じないというセキュリティ意識の徹底が強く求められます。
Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtect
https://research.checkpoint.com/2026/thousands-of-hacked-wordpress-sites-one-operation-unmasking-stopandprotect/
| この記事をシェア |
|
|---|
