Ein fataler Fehler der Angreifer bei der Absicherung des Betriebs gewährte Sicherheitsforschern tiefen Einblick in eine weitreichende kriminelle Infrastruktur, die mehr als 5.000 infizierte Computer und fast 2.000 kompromittierte WordPress-Websites kontrollierte.

Check Point Research, die Sicherheitsforschungsabteilung von Check Point® Software Technologies, einem Pionier und weltweit führenden Anbieter von Cyber-Sicherheitslösungen, hat eine ungewöhnliche Entdeckung bei der Analyse einer neu identifizierten Cyber-Kampagne namens „StopAndProtect“ gemacht. In diesem Fall erlaubten gravierende Fehler bei der Absicherung des Betriebs ihrer Software einen seltenen und tiefen Einblick in die Infrastruktur der Cyberkriminellen.

Das Wichtigste in Kürze: 

• Ungewöhnlicher Einblick durch OPSEC-Fehler: Sicherheitsforscher stießen bei ihrer Untersuchung auf öffentlich zugängliche Verzeichnisse der Angreifer, die Malware-Protokolle, Screenshots von Opfern, gestohlene Dateien und interne Kampagnen-Verwaltungstools enthielten. 
• Enormes Ausmaß der Kampagne: Die Analyse der exponierten Daten offenbarte eine Kampagne, die bereits über 5.000 infizierte Computer weltweit beeinträchtigt hat und auf ein Netzwerk von fast 2.000 kompromittierten WordPress-Domains zurückgreift. 
• Selbstinfizierung führt zur Entlarvung: Die Forscher vermuten, dass einer der Operatoren versehentlich seinen eigenen Entwickler-PC infizierte, wodurch interne Entwicklungsdateien direkt auf die Datensammel-Infrastruktur hochgeladen und somit offengelegt wurden. 
• Social Engineering via „ClickFix“: Die Infektionskette nutzt gefälschte CAPTCHA-Abfragen, um Anwender mittels Social Engineering dazu zu verleiten, schädliche Befehle auf ihren eigenen Rechnern auszuführen. 

Legitime WordPress-Websites als kriminelles Werkzeug  

Anstatt auf eigens eingerichtete Befehls- und Kontrollserver (Command-and-Control) zu setzen, bauten die Betreiber von StopAndProtect eine hochgradig verteilte kriminelle Infrastruktur auf, indem sie reguläre, kompromittierte WordPress-Websites missbrauchten. 

Mit einem globalen Marktanteil von über 43 Prozent im Jahr 2026 (Statista) ist WordPress ein äußerst attraktives Ziel für Cyberkriminelle, die sowohl Skalierbarkeit als auch eine scheinbare Legitimität für ihre Angriffe suchen. Die Täter nutzten diese gehackten Webseiten über den gesamten Lebenszyklus des Angriffs hinweg, um Schadsoftware zu hosten, weitere schädliche Nutzlasten auszuliefern, mit infizierten Geräten zu kommunizieren sowie gestohlene Dokumente, Screenshots und Aktivitätsprotokolle zu sichern. Durch die Zweckentfremdung dieser vertrauenswürdigen Webseiten gelang es ihnen, ihre bösartigen Aktivitäten effektiv im legitimen Internet-Datenverkehr zu tarnen. Ein zentraler Treiber dieser Gefahr bleibt die mangelnde Update-Disziplin der Website-Betreiber. Im Rahmen der Untersuchung stieß Check Point Research beispielsweise auf eine kompromittierte Webseite, auf der eine WordPress-Version aus dem Jahr 2021 mit fast 40 bekannten, ungepatchten Schwachstellen lief. 

Wenn Hacker sich selbst kompromittieren  

Während der Untersuchung entdeckten die Sicherheitsforscher offene Verzeichnisse mit Protokolldateien, Screenshots der Opfer, gestohlene Dateien und Administrationswerkzeugen. Zudem konnten sie den Quellcode von Automatisierungstools sichern, die den Kriminellen dabei halfen, die rund 2.000 missbrauchten WordPress-Domains im großen Stil zu verwalten. Die Entdeckung interner Entwicklungsdaten auf dem Sammel-Server deutet stark darauf hin, dass sich einer der Entwickler der Kampagne versehentlich selbst infiziert hat. Obwohl dieses verräterische Archiv nach wenigen Tagen vom Server entfernt wurde, ermöglichte diese temporäre Offenlegung den Forschern wertvolle und detaillierte Einblicke in die Funktionsweise und Organisation moderner cyberkrimineller Kampagnen. Wenn Angreifer solche folgenschweren Fehler begehen, erhalten Verteidiger einen unschätzbaren Vorteil beim Verständnis moderner Angriffskampagnen. 

Vertrauen als Angriffsfläche: Die gefälschte CAPTCHA-Falle  

Die Infektionskette der StopAndProtect-Kampagne basiert nicht auf hochkomplexen technischen Exploits, sondern nutzt gezielt menschliches Verhalten aus. Opfer stoßen im Internet auf gefälschte CAPTCHAs, die die sogenannte „ClickFix“-Social-Engineering-Technik verwenden. Hierbei werden Nutzer explizit dazu angewiesen, bestimmte Befehle zu kopieren, in ihr System einzufügen und auszuführen – im Glauben, eine reguläre Sicherheitsprüfung zu absolvieren. Dadurch starten die Anwender unwissentlich eine mehrstufige Infektionskette, die im Hintergrund Schadcode von den kompromittierten WordPress-Websites nachlädt. Diese Taktik verdeutlicht einen gefährlichen Trend in der Bedrohungslandschaft, bei dem Angreifer psychologische Manipulation, vertrauenswürdige Web-Infrastrukturen und anpassbare, modulare Malware kombinieren, um maximale Reichweite bei minimaler Entdeckungsgefahr zu erzielen. Je nach den strategischen Zielen der Täter kann die eingesetzte Schadsoftware sensible Dokumente stehlen, Anmeldedaten ausspähen, Daten exfiltrieren oder den Weg für spätere Ransomware-Erpressungen ebnen. 

„StopAndProtect zeigt eindrücklich, wie Angreifer Tausende schlecht gewartete WordPress-Websites in eine hocheffiziente, verteilte kriminelle Infrastruktur für die Verbreitung von Malware, Überwachung, Datendiebstahl und Ransomware verwandeln können“, erklärt Eli Smadja, Head of Research bei Check Point Research. „Aufgrund unserer Forschungsergebnisse raten wir Organisationen dringend zur Vorsicht bei unerwarteten CAPTCHA-Aufforderungen, die dazu anleiten, Befehle zu kopieren, einzufügen oder auszuführen. Nutzer sollten ihre Geräte und Sicherheitssoftware stets auf dem neuesten Stand halten und jede Website sofort verlassen, die ungewöhnliche Schritte außerhalb des Browsers verlangt.“ 

Empfehlungen für Unternehmen und Anwender  

Um sich vor StopAndProtect und ähnlichen Kampagnen wirksam zu schützen, empfiehlt Check Point Research die Umsetzung folgender Sicherheitsmaßnahmen: 

• Skepsis bei CAPTCHAs walten lassen: Anwender sollten grundlegend misstrauisch gegenüber Webseiten sein, die zum Kopieren, Einfügen oder Ausführen von Befehlen außerhalb des Browsers auffordern. Legitime CAPTCHA-Abfragen erfordern solche Schritte niemals. 
• WordPress-Systeme patchen: Betreiber von WordPress-Websites müssen sicherstellen, dass sowohl die Kern-Installation als auch alle verwendeten Plugins kontinuierlich aktualisiert werden, um Sicherheitslücken umgehend zu schließen. 
• Mitarbeiter sensibilisieren: Unternehmen sollten ihre Teams gezielt schulen, um neuartige Social-Engineering-Taktiken wie die ClickFix-Methode frühzeitig zu erkennen. 
• Aktivitäts-Monitoring ausbauen: Sicherheitsteams sollten Systeme kontinuierlich auf ungewöhnliche PowerShell-Aktivitäten überwachen, da diese häufig zur Ausführung der kopierten Befehle genutzt werden. 
• Präventionsbasierte Sicherheitsstrategie: Die Etablierung eines präventiven Sicherheitsansatzes („Prevention-First“) ist entscheidend, um Angriffe abzuwehren, bevor Schadsoftware eine dauerhafte Präsenz (Persistenz) im Netzwerk etablieren oder sensible Daten stehlen kann. 

Der vollständige Report zur technischen Analyse der StopAndProtect-Kampagne inklusive aller Indicators of Compromise (IOCs) ist hier verfügbar:https://research.checkpoint.com/2026/thousands-of-hacked-wordpress-sites-one-operation-unmasking-stopandprotect/