A Check Point Research começou a acompanhar a operação em meados de maio de 2026 após identificar uma família de ransomware chamada StopAndProtect. Durante a investigação, os pesquisadores perceberam que o ransomware era apenas uma parte de uma estrutura muito maior.
O grupo utiliza sites WordPress legítimos previamente comprometidos como parte da própria infraestrutura criminosa. Esses sites podem servir para:
- hospedar diferentes estágios do malware;
- enviar comandos para máquinas infectadas;
- receber arquivos roubados;
- armazenar logs e screenshots das vítimas.
A Check Point encontrou listas contendo quase 2 mil domínios WordPress comprometidos, dando uma dimensão aproximada da infraestrutura utilizada pelos operadores.
Como o ataque começa?
O ataque utiliza uma técnica de engenharia social conhecida como ClickFix.
Ao acessar um dos sites comprometidos, a vítima pode visualizar uma falsa página de verificação humana semelhante a um CAPTCHA. Em vez de apenas clicar em uma caixa ou identificar imagens, o site instrui o usuário a executar determinadas ações no Windows.
Em termos simples
O fluxo funciona aproximadamente assim:
- O usuário acessa um site WordPress comprometido.
- Uma falsa verificação CAPTCHA é apresentada.
- Um comando PowerShell é copiado para a área de transferência.
- A vítima é induzida a executar esse comando.
- O PowerShell baixa os próximos componentes da infecção.
- Novos módulos são carregados na máquina.
A cadeia observada pela Check Point pode ser resumida como:
ClickFix → PowerShell → downloader .NET → loader .NET → módulos maliciosos.
O ponto mais importante é que a vítima participa diretamente do início da execução ao seguir as instruções apresentadas pela página falsa.
O malware possui vários componentes
O StopAndProtect não é composto por apenas um executável.
A operação utiliza um conjunto de ferramentas diferentes, cada uma com uma função específica.
SilentEncryptor
É o componente responsável pela criptografia de arquivos.
Os operadores conseguem definir se o ransomware deve ser executado em todas as máquinas infectadas ou apenas em computadores específicos.
Isso significa que nem toda vítima da campanha recebe ransomware.
Em muitos casos, os pesquisadores observaram apenas coleta silenciosa de dados e arquivos.
SilentDataCollector
Esse componente funciona como um stealer.
Ele consegue listar arquivos presentes em discos locais, unidades removíveis e compartilhamentos de rede. A lista é enviada ao servidor controlado pelos operadores, que podem posteriormente selecionar arquivos específicos para serem roubados.
Versões mais recentes também possuem recursos como:
- keylogger;
- captura de screenshots;
- acesso a informações do WhatsApp;
- mapeamento de compartilhamentos de rede;
- coleta direcionada de arquivos.
Segundo a Check Point, screenshots podem ser capturados em intervalos de aproximadamente 30 segundos enquanto a vítima está ativa.
Malware também tenta se espalhar pela rede e por USB
Outro componente identificado foi o NetworkShareScanner, que funciona como um worm para localizar compartilhamentos SMB e dispositivos USB conectados.
Também existe um propagador escrito em VBS capaz de:
- copiar malware para discos;
- infectar mídias removíveis;
- procurar sistemas na rede;
- utilizar WMI para criar processos remotamente.
Esse comportamento aumenta o risco em ambientes corporativos, porque uma máquina inicialmente comprometida pode servir como ponto de partida para alcançar outros equipamentos.
Operadores conseguem bloquear a tela da vítima
A campanha também possui um componente chamado LockScreen.
Ele bloqueia a entrada do usuário e apresenta uma mensagem de resgate com um QR Code para pagamento.
Existe ainda uma ferramenta chamada SimpleChatProxy, que permite comunicação direta entre o operador e a vítima através de uma interface de chat própria.
Essa combinação indica uma operação em que os invasores podem acompanhar e controlar manualmente determinadas etapas da infecção.
A própria Check Point considera provável que exista atividade hands-on-keyboard, ou seja, intervenção direta de operadores humanos em algumas máquinas comprometidas.
Sites WordPress servem como infraestrutura criminosa
Um dos pontos mais relevantes da campanha é o uso dos sites comprometidos.
Em vez de manter toda a estrutura em servidores criados diretamente para atividades maliciosas, os criminosos utilizam sites legítimos já existentes.
Os pesquisadores encontraram um plugin malicioso instalado nos ambientes WordPress, incluindo um arquivo colocado em:
wp-content/mu-plugins/wp-sec.php
Esse tipo de plugin é conhecido como Must-Use Plugin, ou MU Plugin.
Por que isso importa?
Plugins MU são carregados automaticamente pelo WordPress e não aparecem da mesma maneira que plugins comuns no painel padrão de administração.
Isso pode ajudar o atacante a manter persistência com menos visibilidade para o administrador do site.
No caso analisado, o plugin criava um endpoint REST oculto que permitia o upload de arquivos, inclusive arquivos PHP, caso o operador possuísse as credenciais esperadas.
Um plugin falso exibe o CAPTCHA malicioso
Os sites comprometidos também continham um plugin chamado:
verify
Esse componente altera o conteúdo apresentado aos visitantes e pode exibir a falsa verificação CAPTCHA utilizada para iniciar a cadeia ClickFix.
Para ativá-lo, os operadores utilizavam um arquivo chamado:
activator.php
Depois da ativação, esse arquivo era apagado automaticamente.
Essa técnica reduz os artefatos deixados no site depois da instalação inicial.
Falhas dos criminosos expuseram a operação
A Check Point conseguiu entender boa parte da infraestrutura porque os próprios operadores cometeram erros de segurança operacional, conhecidos como falhas de OPSEC.
Alguns diretórios utilizados pela campanha estavam acessíveis publicamente e permitiam listar ou baixar arquivos.
Os pesquisadores encontraram:
- logs de infecção;
- código-fonte;
- ferramentas administrativas;
- arquivos roubados;
- screenshots de máquinas comprometidas;
- listas de sites WordPress utilizados pela campanha.
Em um dos cenários analisados, a Check Point suspeita que um dos próprios operadores tenha infectado sua máquina por acidente, fazendo com que arquivos internos acabassem enviados para um servidor da operação.
Esses arquivos ajudaram a revelar ferramentas utilizadas para administrar sites WordPress comprometidos em massa.
Mais de 6 mil endereços IP apareceram nos registros
Até 24 de julho de 2026, os logs analisados continham mais de 6 mil endereços IP únicos relacionados à operação.
Os países com maior quantidade nos registros foram:
- Estados Unidos: 1.852;
- Rússia: 630;
- Índia: 630.
Existe, porém, uma ressalva importante.
A própria Check Point afirma que parte desses endereços pode pertencer a sandboxes, pesquisadores ou ambientes de análise. A maioria parece estar ligada a vítimas reais, mas o número não deve ser interpretado automaticamente como 6 mil pessoas ou empresas confirmadamente comprometidas.
Dezenas de milhares de screenshots foram armazenados
Durante o monitoramento realizado entre maio e julho, os pesquisadores encontraram diretórios com grandes volumes de imagens capturadas das máquinas infectadas.
Um dos diretórios continha mais de 20 mil screenshots de atividade, e outro conjunto permitiu recuperar aproximadamente 400 screenshots únicos associados a quase 200 máquinas infectadas.
As imagens mostravam situações como:
- desktops das vítimas;
- documentos abertos;
- navegadores;
- programas antivírus;
- mensagens de resgate;
- listas de arquivos criptografados.
Além disso, a Check Point encontrou mais de 700 arquivos compactados contendo dados roubados entre meados de maio e o final de julho de 2026.
WordPress desatualizado aumenta a superfície de ataque
Segundo os pesquisadores, muitos dos sites utilizados pela campanha estavam executando versões antigas do WordPress ou de plugins instalados.
Em um dos exemplos analisados, o site utilizava uma versão do WordPress de 2021 e apresentava quase 40 vulnerabilidades identificáveis, incluindo falhas relacionadas a SQL Injection, bypass de autenticação e upload de arquivos.
Isso não significa que todas essas vulnerabilidades tenham sido exploradas pelos operadores.
A pesquisa apenas demonstra que o ambiente possuía uma superfície de ataque extremamente ampla.
Indicadores de comprometimento
A Check Point publicou diversos IOCs relacionados à operação.
Sites comprometidos observados
maximumrock[.]ro
platinumcar[.]ca
norakremer.co[.]uk
pharmart[.]ae
ksr-racingparts[.]com
Esses endereços foram identificados como sites comprometidos durante a investigação e não devem ser interpretados como domínios originalmente registrados pelos criminosos.
Sites utilizados como C2
v-k[.]com[.]ua
www[.]lapellelaser[.]pl
www[.]parsrulman[.]com
mectcalcutta[.]com
discherniation[.]com
Hash do primeiro estágio PowerShell
cab7f141fd6f2c58055b3731ef6a64b8a2d4d88a974770b047da19c0904322f0
Hash do segundo estágio PowerShell
cc8aa2bd7bf74ca0bbc5cb03a7b18eae73094b450d11654528c05685fe12e0c9
A Check Point também disponibilizou hashes para os loaders, ransomware, worm, LockScreen, stealer e demais componentes da campanha.
Como se proteger?
Existem duas frentes diferentes de proteção: os usuários que navegam na web e os administradores de sites WordPress.
Para usuários
Uma página legítima não deveria solicitar que o visitante copie um comando e execute manualmente no PowerShell ou em outra ferramenta do sistema para concluir um CAPTCHA.
Caso uma página peça ações desse tipo:
não execute o comando e feche o site.
A Check Point recomenda cautela com verificações inesperadas que peçam para copiar, colar ou executar comandos fora do navegador.
Para administradores WordPress
É importante manter:
- WordPress atualizado;
- plugins atualizados;
- temas atualizados;
- apenas extensões realmente necessárias;
- autenticação administrativa protegida;
- monitoramento de alterações em arquivos;
- backups testados e isolados.
Sites antigos ou abandonados também precisam ser atualizados ou retirados do ar.
Verificar MU Plugins
Administradores devem revisar:
wp-content/mu-plugins/
A presença de arquivos desconhecidos nesse diretório merece investigação, principalmente porque MU Plugins podem não aparecer na interface convencional de plugins.
Isso não significa que qualquer MU Plugin seja malicioso — o recurso é legítimo e utilizado por diversas aplicações WordPress.
O alerta deve ser baseado no contexto e na origem do arquivo.
Análise Técnica CyberX
O WordPress é apenas uma parte da cadeia
O principal aspecto dessa operação é que os sites WordPress não são necessariamente o alvo final.
Eles funcionam como infraestrutura reutilizada pelos criminosos para atingir outras vítimas.
Isso cria duas categorias diferentes de vítima:
proprietário do site WordPress comprometido
e
visitante infectado através daquele site.
Uma organização pode ter seu servidor utilizado para distribuir malware mesmo sem perceber imediatamente que visitantes estão sendo atacados.
Sites legítimos ajudam a mascarar a infraestrutura
Utilizar domínios legítimos comprometidos apresenta uma vantagem importante para o criminoso.
Ferramentas de segurança podem ter histórico de confiança para aquele domínio, principalmente se ele existe há anos e pertence a uma empresa real.
Isso pode tornar determinadas conexões menos suspeitas do que tráfego para um domínio recém-registrado exclusivamente para C2.
A operação mostra novamente por que reputação de domínio não pode ser tratada isoladamente como prova de segurança.
ClickFix continua sendo extremamente eficiente
Outro ponto relevante é o uso de ClickFix.
O site não precisa explorar automaticamente uma vulnerabilidade no navegador.
Ele convence a vítima a executar o comando.
Isso muda a dinâmica do ataque:
o navegador exibe a instrução → o usuário executa PowerShell → o sistema inicia o malware.
O fator humano passa a funcionar como parte da cadeia de execução.
Treinamentos de segurança precisam incluir exemplos específicos desse comportamento, e não apenas phishing tradicional por e-mail.
O roubo de dados pode ser mais importante que o ransomware
A Check Point enfatiza que o ransomware não é implantado em todas as máquinas.
Isso é tecnicamente importante.
Uma organização pode sofrer comprometimento e exfiltração de documentos durante semanas sem visualizar nenhuma nota de resgate ou criptografia.
O ransomware é um sinal extremamente visível.
O roubo silencioso de arquivos não.
Por isso, ausência de criptografia não significa ausência de comprometimento.
Captura de screenshots cria grande risco de exposição
Screenshots periódicos permitem que os operadores obtenham dados que talvez não estivessem disponíveis diretamente em arquivos.
Uma captura pode expor:
- sistemas internos;
- dados pessoais;
- informações financeiras;
- conversas;
- credenciais visíveis;
- documentos confidenciais.
A função de screenshot a cada 30 segundos identificada nas versões recentes aumenta significativamente a capacidade de vigilância sobre a máquina.
Propagação por SMB e WMI aumenta o risco corporativo
Para empresas, a presença de mecanismos de propagação merece atenção especial.
Uma máquina comprometida pode buscar:
- compartilhamentos SMB;
- unidades de rede;
- dispositivos USB;
- outras máquinas alcançáveis por WMI.
Isso significa que segmentação de rede e controle de privilégios podem limitar significativamente o impacto.
Uma estação de usuário não deveria possuir acesso administrativo amplo a outras máquinas apenas por estar conectada à mesma rede.
Recomendação CyberX
A CyberX recomenda que empresas trabalhem em duas camadas.
Endpoints
Monitorar:
- PowerShell iniciado após atividade de navegador;
- powershell.exe utilizando parâmetros de execução oculta;
- downloads executados diretamente em memória;
- criação de scripts VBS;
- WMI criando processos remotamente;
- acessos anormais a compartilhamentos SMB;
- capturas frequentes de tela por processos desconhecidos.
Servidores WordPress
Monitorar:
- alterações em wp-content;
- novos MU Plugins;
- arquivos PHP recém-criados;
- endpoints REST desconhecidos;
- contas administrativas inesperadas;
- plugins antigos ou abandonados;
- mudanças fora das janelas de manutenção.
Conclusão
A StopAndProtect demonstra como uma operação criminosa pode transformar sites WordPress legítimos em uma infraestrutura distribuída para malware, espionagem, roubo de arquivos e ransomware.
Segundo a Check Point, quase 2 mil sites comprometidos foram relacionados à campanha, enquanto os registros analisados mostraram mais de 6 mil endereços IP únicos associados à operação até 24 de julho de 2026.
O aspecto mais importante, porém, é a combinação das técnicas utilizadas:
WordPress comprometido → ClickFix → PowerShell → loaders .NET → roubo de dados, propagação e possível ransomware.
Para empresas, a principal lição é clara:
um site desatualizado não representa risco apenas para seu proprietário. Quando comprometido, ele pode se transformar em infraestrutura para atacar milhares de outras pessoas.
Fontes e referências
Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 19 de agosto de 2026 e validada com a investigação técnica original publicada pela Check Point Research em 18 de agosto de 2026.
CyberX I.T Solutions — Cybersecurity Intelligence
Clop usa web shell avançado para roubar dados do PTC WindchillPesquisadores da ReliaQuest identificaram um web shell personalizado, altamente provavelmente ligado ao grupo Clop/…
CISA alerta para falhas críticas exploradas em macOS, SharePoint, vCenter e Windo…A CISA adicionou quatro vulnerabilidades críticas ao catálogo de falhas conhecidamente exploradas, confirmando ataq…
Phishing 3.0 coloca IA contra IA na nova geração de ataquesAtaques de phishing estão evoluindo de mensagens genéricas com links maliciosos para campanhas personalizadas que c…
SilkParasite mira governos com novos malwares de espionagemPesquisadores da Bitdefender identificaram uma operação de ciberespionagem chamada SilkParasite, ativa pelo menos d…
Mais de 14.500 dispositivos Dahua foram comprometidos em campanha com ataques de…Pesquisadores da Hunt.io reconstruíram uma campanha chamada Operation CameraSwarm que teria comprometido mais de 14…
Mustang Panda adiciona rootkit assinado ao backdoor CoolClient para aumentar furt…Pesquisadores da Kaspersky identificaram uma nova variante do backdoor CoolClient, associado ao grupo de ciberespio…