Hampir 2.000 situs web WordPress yang diretas digunakan untuk menyebarkan malware, mencuri data, memantau korban, dan menyebarkan ransomware, menurut perusahaan keamanan siber Check Point Research.
Dalam laporan yang diterbitkan pada hari Selasa, peneliti mengatakan keluarga ransomware StopAndProtect pertama kali ditemukan pada pertengahan Mei sebelum melacaknya ke operasi yang lebih luas. Situs web yang diretas tersebut menampung malware, mengirimkan perintah ke komputer yang terinfeksi, dan menyimpan dokumen curian, tangkapan layar, serta log aktivitas.
“Operasi ini tidak bergantung pada satu bagian malware, melainkan pada seluruh perangkat lunak kriminal yang bekerja bersama,” tulis peneliti Check Point Jaromír Horejsi. “Beberapa komponen mengenkripsi file, yang lain secara diam-diam mencuri dokumen atau mengunci layar, dan yang lain bertindak sebagai obrolan langsung antara penyerang dan korban mereka.”
Menurut Check Point, malware tersebut menargetkan pengguna Windows dan dimulai dengan CAPTCHA palsu di situs web yang disusupi. Perintah ClickFix menginstruksikan korban untuk menjalankan perintah PowerShell yang menginstal malware yang mampu mencuri kredensial, frasa benih (seed phrase) dompet kripto, menyebar melalui jaringan dan drive USB, mengunci layar, dan menyebarkan ransomware.
Laporan tersebut tidak menyebutkan apakah pengguna macOS dan Linux terpengaruh.
Namun, kesalahan yang dilakukan oleh para penyerang memberikan peneliti Check Point pandangan yang lebih dalam mengenai operasi tersebut, kata perusahaan itu.
“Kegagalan keamanan operasional (OPSEC) oleh pengembang mengekspos banyak file, termasuk log infeksi terperinci dari mesin korban, tangkapan layar dari komputer yang terinfeksi, dan kode sumber alat yang digunakan penjahat untuk mengelola situs web yang disusupi secara massal,” tulis Horejsi.
Pada 24 Juli, kampanye tersebut telah menyusupi lebih dari 6.000 alamat IP unik, termasuk 1.852 di Amerika Serikat dan masing-masing 630 di Rusia dan India.
Direktori yang terekspos berisi log infeksi dan tangkapan layar dari komputer korban. Peneliti mengatakan mereka dapat mengumpulkan lebih dari 31.000 tangkapan layar antara pertengahan Mei dan akhir Juli, bersama dengan lebih dari 700 arsip yang berisi data curian, termasuk dokumen, kata sandi, dan file dompet kripto.
Check Point meyakini aktor ancaman tersebut juga secara tidak sengaja menginfeksi diri mereka sendiri.
“Kami mengumpulkan beberapa ratus file yang dieksfiltrasi dari mesin korban, dan kami yakin dalam satu kasus aktor ancaman tersebut menginfeksi diri mereka sendiri, karena satu arsip berisi beberapa file tidak biasa dengan konten mencurigakan,” tulis Horejsi. “Ini juga membantu kami lebih memahami bagaimana aktor beroperasi dan berapa banyak domain yang disusupi yang kemungkinan mereka kendalikan.”
ClickFix telah muncul dalam beberapa kampanye malware lain tahun ini.
Pada bulan Mei, sebuah situs web pakaian yang terkait dengan Direktur FBI Kash Patel tidak dapat diakses setelah pengunjung macOS dilaporkan menjadi target malware ClickFix. Pengguna diminta untuk menempelkan perintah ke Terminal yang menginstal infostealer yang mampu menargetkan data browser, token sesi, dan dompet kripto.
Pada bulan Juli, Jamf Threat Labs menemukan malware bergaya ClickFix didistribusikan melalui iklan berbayar di X. Iklan tersebut mengarahkan pengguna ke situs web yang menginstruksikan mereka untuk membuka Terminal dan menjalankan perintah yang menginstal varian infostealer Atomic. Pada bulan Agustus, peneliti Microsoft memperingatkan bahwa peretas menggunakan situs web yang disusupi dan smart contract BNB Chain untuk mendistribusikan malware melalui CAPTCHA palsu.
