黑客在超過 2000 個被黑的 WordPress 網站上爲加密貨幣用戶設置陷阱

Check Point Research 將一個犯罪團伙命名爲 StopAndProtect，該團伙利用近 2000 個維護不善的 WordPress 博客託管惡意軟件，這些惡意軟件會從受感染的 Windows 計算機中竊取加密貨幣錢包種子、密碼和文件。.

對於加密貨幣持有者來說，最令人擔憂的是，這些收購行爲分佈在看似正規的商業博客或網站上。.

Check Point 於 8 月 18 日公佈了詳細信息，此前該公司已將 5 月中旬發現的勒索軟件樣本與更大規模的勒索和監視活動聯繫起來。.

爲什麼主持這個故事如此重要？

大多數 惡意軟件攻擊活動 都是通過攻擊者租用或攻破的服務器進行分發的。研究員 Jaromír Hořejší 表示，StopAndProtect 採取了不同的策略。他們的勒索軟件、有效載荷、命令與控制基礎設施以及用於存儲 被盜數據的 都託管在犯罪分子無需付費或攻破的 WordPress 域名上。

霍雷伊希指出，這是此次攻擊行動中最有趣的部分。一臺服務器可以託管惡意代碼，將指令重定向到受感染的計算機，並存儲竊取的文件。據安全事務部門稱，被黑客入侵的網站不再僅僅是一個被黑客入侵的網站，它可能成爲其他惡意行爲者發起攻擊的跳板。.

這些網站維護狀況很差，Hořejší 的團隊在檢查其中一個惡意域名背後的 WordPress 實例時發現了這一點。研究人員在該軟件中發現了近 40 個不同的漏洞，最早可追溯到 2021 年。.

虛假驗證碼網絡釣魚詐騙的運作原理

加密貨幣持有者尤其應該警惕這種威脅。此次網絡釣魚活動誘騙 Windows 用戶相信他們需要完成驗證碼測試才能訪問某個網站。然而，這個驗證碼實際上是個騙局，嘗試完成驗證的用戶會被要求複製一段 PowerShell 命令並粘貼到命令提示符中。.

然後，該 PowerShell 命令將開始下載 .NET 有效載荷，攻擊者可以利用這些有效載荷從受感染的計算機中trac已保存的密碼、加密錢包種子和其他數據。.

該 惡意軟件 還可以從共享網絡文件夾和U盤複製文件，截取受感染計算機的屏幕截圖，甚至加密計算機並勒索贖金。據Decrypt網站稱，用戶應警惕任何要求其粘貼或輸入任何內容的網站，一旦看到此類請求，應立即離開頁面。

加密錢包並非此次攻擊活動的唯一目標。在許多情況下，攻擊者利用惡意軟件竊取受害者電腦中的文件。據 報道，攻擊者會掃描受感染電腦上的文件，並選擇最有價值的文件進行竊取。

新版本的惡意軟件還能夠記錄鍵盤輸入、每 30 秒截取屏幕截圖，甚至使用 WhatsApp 拍攝受害者的聯繫人列表照片。.

攻擊者dent發佈到網上的內容

在“停止與保護”行動中，最有價值的情報來自犯罪分子自己的服務器。攻擊者的網絡安全措施薄弱，目錄和日誌文件暴露在互聯網上。Check Point 懷疑其中一名攻擊者的電腦已被入侵，並且該犯罪分子可能dent地將一些文件上傳到了服務器。.

在這些文件中，Hořejší 發現了攻擊者用來控制被黑網站的自動化工具的源代碼。.

該工具使用舊版 Visual Basic 6 編寫，允許犯罪分子遠程切換驗證碼釣魚頁面、重定向網站訪問者，並更新被入侵網站上的惡意軟件。該工具附帶的文本文件中還包含一份近 2000 個已被黑客入侵併轉化爲釣魚網站的域名列表。.

日誌文件還幫助研究人員瞭解了攻擊的規模。截至7月24日，該攻擊活動已感染超過6000個不同的IP地址。其中，1852個用戶位於美國，俄羅斯和印度各有630個用戶。.

從5月中旬到7月底，研究人員發現了700多個被盜文件存檔。服務器上的一個開放目錄中包含了超過2萬張受害者電腦的屏幕截圖。.

最頂尖的加密貨幣專家都在閱讀我們的簡報。想 加入他們？