Se un sito WordPress chiede di incollare un comando nel terminale, va considerato sospetto immediatamente. Il modo più rapido per ridurre il rischio è aggiornare WordPress, temi e plugin, rimuovere account amministrativi sconosciuti e controllare che non ci siano file PHP o modifiche anomale sul server.
Cosa sta succedendo
Una nuova campagna malevola ha trasformato migliaia di siti WordPress compromessi in una rete criminale usata per comando e controllo, distribuzione di payload e raccolta di dati. L’operazione combina estorsione, furto silenzioso di informazioni e una struttura di infrastruttura ridondante, pensata per restare attiva anche se alcuni nodi vengono smantellati.
Gli attaccanti non si limitano a bloccare i sistemi delle vittime: prima raccolgono documenti, screenshot, credenziali, registri di comunicazione e altri dati sensibili. Questo approccio consente loro di massimizzare il profitto e di usare le informazioni trafugate come leva per aumentare la pressione sulle aziende colpite.
Come viene usato WordPress
La tecnica iniziale si basa su una finta verifica CAPTCHA inserita in pagine WordPress vulnerabili o già compromesse. Quando l’utente visita il sito, vede un prompt che sembra legittimo ma che in realtà lo induce a copiare e incollare un comando PowerShell dannoso nel terminale.
Una volta eseguito, il comando avvia una catena di infezione articolata in più fasi. La sequenza usa script PowerShell, loader .NET modulari e componenti aggiuntivi per distribuire un insieme di strumenti offensivi che include ransomware, ladri di credenziali, bloccaschermo, worm VBS e moduli di propagazione via rete o USB.
Questa struttura rende l’operazione più flessibile rispetto ai classici attacchi “mordi e fuggi”. In molti casi, i criminali osservano prima l’ambiente, mappano le condivisioni di rete, raccolgono screenshot periodici, registrano attività utili all’esfiltrazione e solo dopo valutano se attivare la fase ransomware.
Perché la campagna è pericolosa
Il rischio principale non riguarda solo il sito infetto, ma l’intera catena operativa che ne deriva. Un dominio WordPress compromesso può diventare un server di comando e controllo, un punto di distribuzione dei payload o un archivio per i file sottratti alle vittime.
Questo significa che un sito apparentemente normale può ospitare traffico malevolo senza mostrare segnali evidenti all’utente finale. La compresenza di contenuti legittimi e comunicazioni malevole rende più difficile il rilevamento, soprattutto quando il sito è mantenuto male o non viene monitorato con attenzione.
I segnali di una compromissione
Gli indicatori più comuni includono:
- richieste improvvise di eseguire comandi nel terminale
- comparsa di CAPTCHA falsi o test di verifica insoliti
- file PHP non autorizzati nelle directory pubbliche
- modifiche sospette al file .htaccess
- account amministrativi creati senza autorizzazione
- cartelle con elenchi di file accessibili pubblicamente
- traffico in uscita anomalo verso domini sconosciuti
In alcuni casi, i server di staging esposti hanno permesso di osservare log interni, telemetria delle vittime e perfino codice sorgente lasciato accessibile. Un’ulteriore falla operativa ha persino esposto file di sviluppo interni usati per gestire in massa i domini compromessi e distribuire nuovi payload.
Perché i siti non aggiornati sono il bersaglio ideale
Molti compromessi iniziano da installazioni vecchie e trascurate. Un sito rimasto fermo per anni può accumulare decine di vulnerabilità non corrette, soprattutto se usa plugin o temi abbandonati.
WordPress in sé non è il problema: lo diventano la mancanza di manutenzione, le estensioni non aggiornate e le credenziali deboli. Gli aggressori sfruttano questi punti deboli per ottenere accesso persistente, installare backdoor e trasformare un normale sito aziendale in un relay malevolo.
Cosa fare subito
- Aggiornare immediatamente WordPress core, temi e plugin
- Rimuovere componenti inutilizzati o non mantenuti
- Verificare tutti gli account amministrativi e revocare quelli sospetti
- Cercare file PHP sconosciuti e modifiche non autorizzate
- Controllare il file .htaccess e le directory pubbliche
- Monitorare le esecuzioni PowerShell sui dispositivi endpoint
- Analizzare il traffico in uscita per individuare trasferimenti anomali
- Isolare i siti compromessi e ruotare le credenziali esposte
Per gli utenti finali, la regola è semplice: non eseguire mai comandi suggeriti da un sito web. Per i team di sicurezza, è essenziale correlare i segnali del browser con la telemetria degli endpoint, perché la fase iniziale dell’attacco spesso avviene fuori dal perimetro tradizionale del web server.
Impatto operativo sulle aziende
La campagna mostra come i criminali stiano evolvendo verso infrastrutture ibride, capaci di mescolare traffico legittimo e comunicazioni malevole. Questo approccio migliora la resilienza della rete di attacco e complica le attività di contenimento.
Per le aziende colpite, il problema non è solo ripristinare il sito: bisogna anche verificare se gli aggressori abbiano già estratto dati, aperto canali di comunicazione persistenti o compromesso altri sistemi interni attraverso la rete locale.
Una risposta efficace deve quindi unire bonifica del sito, analisi forense degli endpoint, revisione delle credenziali e monitoraggio continuo delle connessioni esterne. Agire in ritardo può permettere agli attaccanti di spostarsi lateralmente e di aumentare il danno prima del blocco definitivo.
Technical Deep Dive
La campagna segue un modello multi-stage in cui la pagina WordPress funge da esca e da vettore di distribuzione. Il primo stadio utilizza un falso controllo di verifica che istruisce la vittima a eseguire un comando PowerShell. Il secondo stadio scarica e avvia ulteriori componenti che preparano il sistema alla fase successiva.
L’architettura rilevata include loader modulari in .NET e più famiglie di payload specializzati. Tra questi figurano un encryptor per la fase ransomware, un credential stealer, un lockscreen, un worm SMB/USB, uno spreader VBS e un modulo di chat o utilità operativa per il coordinamento. La modularità consente agli operatori di adattare rapidamente il carico malevolo in base al profilo della vittima e all’obiettivo economico.
Dal punto di vista tattico, la catena mostra una chiara separazione tra ricognizione, esfiltrazione e monetizzazione. Prima vengono raccolti documenti, log di input, screenshot e dati di comunicazione locale; solo dopo si decide se attivare la cifratura. Questo riduce il rumore operativo e aumenta il valore dei dati sottratti, perché gli aggressori possono scegliere le vittime più redditizie o quelle più sensibili.
L’infrastruttura C2 distribuita su molti domini WordPress compromessi offre vantaggi notevoli agli attaccanti: rotazione rapida dei nodi, maggiore tolleranza ai takedown e possibilità di mascherare il traffico malevolo dentro richieste web apparentemente normali. Per i difensori, questo implica la necessità di correlare indicatori su più livelli: DNS, HTTP, processi endpoint, file system e autenticazione amministrativa.
Le priorità difensive dovrebbero includere il controllo dell’integrità dei file, la ricerca di web shell, la verifica della presenza di directory listing non desiderati e l’analisi delle richieste verso endpoint PHP anomali. Sul lato endpoint, ogni esecuzione di PowerShell non prevista va trattata come evento ad alta severità, soprattutto se accompagnata da download, connessioni verso IP sconosciuti o creazione di file in percorsi temporanei.
In sintesi, questa campagna dimostra che un sito WordPress vulnerabile può diventare molto più di un semplice punto di phishing: può trasformarsi in una vera infrastruttura criminale, capace di sostenere furto dati, comando remoto e distribuzione ransomware su scala globale.
Fonte: https://cybersecuritynews.com/wordpress-sites-stopandprotect-malware/
