改ざんされた約2000件のWordPressを悪用するサイバー攻撃「StopAndProtect」の実態が判明

要点

• セキュリティ企業のCheck Point Researchが、約2,000件の改ざんされたWordPressサイトを悪用するサイバー犯罪作戦「StopAndProtect」の調査結果を公表した。

• 攻撃者は偽のCAPTCHA等を表示する「ClickFix」手法で侵入し、多段階のダウンローダーを経てランサムウェアや情報窃取ツールを展開する。

• 展開されるツール群には、ファイルの暗号化、画面ロック、ワーム機能、ライブチャット、特定ファイルやWhatsApp情報の自動収集機能などが含まれる。

• 侵害されたサイトの多くは古いWordPress本体やプラグインが放置されており、不正なMUプラグインの設置を通じてC2サーバーやマルウェア配信元として悪用されていた。

• サイバーセキュリティ企業のCheck Point Researchは2026年8月19日、約2,000件におよぶ改ざんされたWordPressサイトを攻撃インフラとして悪用するサイバー犯罪キャンペーン「StopAndProtect」の調査結果を公表した。この作戦は単一のマルウェアに依存せず、暗号化や情報窃取、ライブチャットなど多彩なツールキットを組み合わせて展開されているという。調査では、攻撃者側の運用セキュリティ上のミスによって感染ログや管理ツールなどの詳細が露呈したことも明らかになっている。

多目的な攻撃インフラとOpSecの失策

Check Point Researchによると、この大規模なキャンペーンは2026年5月中旬に同名のランサムウェアファミリーが発見されたことを受けて「StopAndProtect」と名付けられた。攻撃者は侵害したWordPressサイト群を、マルウェアの各ステージをホストする配布元としてだけでなく、感染端末へ指示を送るC2（コマンド＆コントロール）サーバー、さらには被害者から盗み出したログやスクリーンショット、機密文書を保管するストレージとしても多目的に利用している。

今回の調査で詳細な手口が解明された背景には、攻撃者側の運用セキュリティ（OpSec）におけるミスがあった。攻撃者の管理不備により、被害者の端末から収集された詳細な感染ログや画面キャプチャ、侵害サイトを一括管理するツール類が外部に露出していたという。

ClickFixを起点とする多段階の侵入プロセス

攻撃の初期段階では、「ClickFix」と呼ばれるソーシャルエンジニアリング手法が用いられる。改ざんされたWordPressサイトに訪問したユーザーに対して偽のCAPTCHA確認画面などを表示し、ユーザー自身にPowerShellコマンドをコピー＆ペーストさせて実行させる手口だ。

このコマンド実行を契機に、多段階の展開プロセスが開始される。まず第1段階として、C2サーバーへ統計情報を送信しつつ次のステージを読み込む.NET製のダウンローダーが動作する。続く第2段階の.NETローダーは、解析を防ぐサンドボックス検知機能やロギング機構を備えており、ここから最終的な各種モジュールが順次起動される仕組みとなっている。

役割分担された6つの主要コンポーネント

第3段階で展開されるツールキットは、それぞれ明確な役割を持つ以下の6つの主要コンポーネントで構成されている。

• SilentEncryptor: 感染した全端末、または指定された特定のホスト名を持つ端末のファイルを暗号化する。
• NetworkShareScanner: SMBやUSBを介して他のデバイスへ感染を広げるワームとして機能する。
• VBS spreader: ハードディスクや外部メディアへの拡散、ネットワークスキャン、WMI（Windowsの管理機能）を用いた水平移動を行う。
• LockScreen: ユーザー入力を遮断し、支払い用QRコードを含む身代金要求画面を表示する。
• SimpleChatProxy: 被害者と攻撃者が直接メッセージをやり取りするための専用チャットツール。
• SilentDataCollector: 全ドライブのリストを暗号化してC2サーバーへ送信する。攻撃者が指示ファイルを送ることで、特定のファイルを指定して収集することも可能。

なお、この作戦では必ずしもランサムウェアが実行されるわけではなく、多くの事例ではファイルの暗号化を行わず、特定ファイルの不正取得のみを秘密裏に進める活動が確認されている。

高度化する情報窃取とWhatsAppの自動探索

情報窃取を担当するスティーラーの最新バージョンでは、さらに高度な機能が追加されている。有効なメールアドレスを自動検出するキーロガー機能や、ネットワーク共有の接続・解除機能、30秒ごとにユーザーのアクティビティを撮影する定期スクリーンショット機能などが組み込まれている。

特に特徴的なのが、メッセージングアプリ「WhatsApp」を標的とした情報抽出機能だ。Web版とデスクトップ版の双方に対応しており、攻撃者が指定した検索キーワード（連絡先名など）を元にデータを探索する。スティーラーは被害者がPCを操作していないアイドル状態になるのを待機し、自動化処理を用いてWhatsAppの検索ボックスにキーワードを入力して連絡先情報を開き、その画面をスクリーンショットとして撮影・保存するという。

不正なMUプラグインの設置と放置された脆弱性

攻撃インフラとして悪用されたWordPressサイトの分析では、サイト管理の不備が浮き彫りとなった。侵害されたサイトの多くは、WordPress本体や導入プラグインのアップデートが長期間放置されていた。中には2021年版の古いバージョンで稼働し続け、約40件もの既知の脆弱性を抱えている事例も確認されたという。

攻撃者は「uploader-installer.php」というPHPファイルを含むZIPアーカイブを利用して独自の不正プラグインをインストールし、wp-content/mu-pluginsディレクトリ内に「Must-Use（MU）プラグイン」（自動的に常時読み込まれるプラグイン）を作成していた。この仕組みにより、有効な認証情報を持つ攻撃者がWordPressのルートディレクトリ配下のほぼ任意の場所にPHPファイルなどの不正なファイルを自由にアップロードできる環境が構築されていた。