هزاران سایت وردپرسی قربانی زیرساخت مجرمانه شدند

هزاران وب‌سایت هک شده وردپرس برای توزیع بدافزار و سرقت اطلاعات مورد سوءاستفاده قرار گرفتند

شرکت امنیتی Check Point Research اعلام کرد که نزدیک به دو هزار وب‌سایت هک شده وردپرس برای توزیع بدافزار، سرقت اطلاعات، نظارت بر قربانیان و استقرار باج‌افزار مورد استفاده قرار گرفته‌اند.

جزئیات عملیات گسترده

در گزارشی که روز سه‌شنبه منتشر شد، محققان اظهار داشتند که خانواده باج‌افزار StopAndProtect برای اولین بار در اواسط ماه مه کشف شد و سپس به یک عملیات گسترده‌تر ردیابی گردید. وب‌سایت‌های هک شده میزبان بدافزار بودند، دستوراتی را به رایانه‌های آلوده ارسال می‌کردند و اسناد سرقت شده، اسکرین‌شات‌ها و گزارش‌های فعالیت را ذخیره می‌نمودند.

جارومیر هورسی، محقق Check Point، در این باره نوشت: «این عملیات به یک قطعه بدافزار واحد متکی نیست، بلکه از مجموعه‌ای از نرم‌افزارهای مجرمانه استفاده می‌کند که با هم کار می‌کنند. برخی از اجزا فایل‌ها را رمزگذاری می‌کنند، برخی دیگر به طور خاموش اسناد را می‌دزدند یا صفحه نمایش را قفل می‌کنند، و یکی دیگر به عنوان چت زنده بین مهاجمان و قربانیانشان عمل می‌کند.»

روش‌های فریب و سرقت

بر اساس گزارش Check Point، این بدافزار کاربران ویندوز را هدف قرار می‌دهد و با یک صفحه CAPTCHA جعلی در یک وب‌سایت در معرض خطر آغاز می‌شود. اعلان ClickFix به قربانیان دستور می‌دهد تا یک دستور PowerShell را اجرا کنند که بدافزاری را نصب می‌کند که قادر به سرقت اطلاعات احراز هویت، عبارات کلیدی کیف پول ارز دیجیتال، انتشار در شبکه‌ها و درایوهای USB، قفل کردن صفحه نمایش و استقرار باج‌افزار است.

این گزارش مشخص نکرده است که آیا کاربران macOS و Linux نیز تحت تأثیر قرار گرفته‌اند یا خیر.

اشتباهات مهاجمان، دریچه‌ای برای محققان

با این حال، اشتباهات مهاجمان به محققان Check Point اجازه داد تا نگاهی عمیق‌تر به این عملیات داشته باشند. هورسی توضیح داد: «شکست‌های امنیتی عملیاتی (OPSEC) توسط توسعه‌دهنده، فایل‌های زیادی از جمله گزارش‌های دقیق آلودگی از دستگاه‌های قربانیان، اسکرین‌شات‌هایی از رایانه‌های آلوده، و کد منبع ابزارهایی را که جنایتکاران برای مدیریت انبوه وب‌سایت‌های در معرض خطر استفاده می‌کنند، فاش کرد.»

تا تاریخ ۲۴ ژوئیه، این کمپین بیش از ۶۰۰۰ آدرس IP منحصربه‌فرد را در معرض خطر قرار داده بود، از جمله ۱۸۵۲ مورد در ایالات متحده و ۶۳۰ مورد در روسیه و هند.

دایرکتوری‌های فاش شده حاوی گزارش‌های آلودگی و اسکرین‌شات‌هایی از رایانه‌های قربانیان بودند. محققان اعلام کردند که توانسته‌اند بین اواسط ماه مه و پایان ماه ژوئیه بیش از ۳۱۰۰۰ اسکرین‌شات و همچنین بیش از ۷۰۰ آرشیو حاوی داده‌های سرقت شده، از جمله اسناد، گذرواژه‌ها و فایل‌های کیف پول ارز دیجیتال را جمع‌آوری کنند.

آلودگی تصادفی مهاجمان

Check Point معتقد است که عامل تهدید به طور تصادفی خود را نیز آلوده کرده است. هورسی در این باره گفت: «ما چند صد فایل استخراج شده از دستگاه‌های قربانیان را جمع‌آوری کردیم و معتقدیم که در یک مورد، عامل تهدید خود را آلوده کرده است، زیرا یک آرشیو حاوی چندین فایل غیرمعمول با محتوای مشکوک بود. این همچنین به ما کمک می‌کند تا نحوه عملکرد عامل تهدید و تعداد دامنه‌های در معرض خطر که احتمالاً کنترل می‌کند را بهتر درک کنیم.»

سابقه ClickFix در کمپین‌های دیگر

ClickFix در چندین کمپین بدافزاری دیگر در سال جاری نیز مشاهده شده است. در ماه مه، یک وب‌سایت پوشاک مرتبط با کاش پاتل، مدیر FBI، پس از اینکه گزارش شد بازدیدکنندگان macOS با بدافزار ClickFix هدف قرار گرفته‌اند، آفلاین شد. کاربران با چسباندن دستوری در ترمینال مواجه شدند که یک ابزار سرقت اطلاعات قادر به هدف قرار دادن داده‌های مرورگر، توکن‌های جلسه و کیف پول‌های ارز دیجیتال را نصب می‌کرد.

در ماه ژوئیه، Jamf Threat Labs بدافزار سبک ClickFix را که از طریق یک تبلیغ اسپانسر شده در X توزیع می‌شد، کشف کرد. این تبلیغ کاربران را به وب‌سایتی هدایت می‌کرد که به آن‌ها دستور می‌داد ترمینال را باز کرده و دستوری را اجرا کنند که نوعی از ابزار سرقت اطلاعات Atomic را نصب می‌کرد. در ماه اوت، محققان مایکروسافت هشدار دادند که هکرها از وب‌سایت‌های در معرض خطر و قراردادهای هوشمند BNB Chain برای توزیع بدافزار از طریق CAPTCHAهای جعلی استفاده می‌کنند.