Als Forscher von Check Point Mitte Mai 2026 erstmals auf eine Ransomware-Familie namens StopAndProtect stießen, dachten sie, sie hätten einen weiteren Eintrag in einem bereits überfüllten Feld gefunden. Sie lagen falsch. Was sie aufdeckten, war weitaus ehrgeiziger: eine vollständige kriminelle Operation, die fast 2.000 kompromittierte WordPress-Websites in eine verteilte Verbrechermaschine verwandelte — und dann einen fatalen Fehler machte, der alles ans Licht brachte.
Was ist StopAndProtect?
StopAndProtect ist eine Cyberkrimi-Operation, die nicht nur Malware einsetzt, sondern ein ganzes kriminelles Ökosystem betreibt. Die Operation missbraucht Tausende gehackter WordPress-Websites als Rückgrat, nutzt sie zur Verbreitung von Malware, zur Kontrolle infizierter Maschinen und zur Speicherung gestohlener Dokumente, Screenshots und Aktivitätsprotokolle.
Im Verlauf ihrer Untersuchung sammelten Check Point-Forscher zwischen Mitte Mai und Ende Juli 2026 mehr als 700 verschlüsselte Archive gestohlener Daten. Interne Protokolle zeigen Tausende betroffener IP-Adressen weltweit, mit der höchsten Konzentration in den USA, Russland und Indien.
Dies ist keine kleine, isolierte Kampagne. Es ist industrialisierte Kriminalität, aufgebaut auf vernachlässigten Websites.
Die Anatomie des Angriffs: ClickFix und das gefälschte CAPTCHA
Die Infektionskette beginnt mit etwas täuschend Einfachem: einem gefälschten CAPTCHA. Opfer, die eine kompromittierte Website besuchen, sehen das, was wie eine Standard-Verifizierung aussieht — die Art von "Ich bin kein Roboter"-Kontrollkästchen, das Internetnutzer dutzende Male am Tag sehen.
Aber dies ist ClickFix, eine Social-Engineering-Technik, die schnell an Boden gewinnt. Anstatt Ihre Menschlichkeit zu überprüfen, löst ein Klick auf die Aufforderung einen PowerShell-Befehl aus, der eine mehrstufige Infektionskette startet:
- PowerShell Stufe 1 — Meldet sich beim Command-and-Control-Server und lädt die nächste Stufe herunter
- PowerShell Stufe 2 — Dekodiert und lädt eine .NET-Assembly in den Speicher
- .NET Stufe 1 — Ein Downloader, der zusätzliche Komponenten holt
- .NET Stufe 2 — Ein persistenter Loader mit Sandbox-Erkennung und umfangreichem Logging
- Stufe 3 — Die finale Nutzlast: ein Toolkit krimineller Software
Jede Stufe generiert Telemetrie und lädt Protokolle hoch, was den Malware-Betreibern ein Echtzeit-Dashboard des Infektionsfortschritts in ihrer Opferflotte gibt.
Ein Toolkit für jedes Verbrechen
Was StopAndProtect besonders gefährlich macht, ist seine Vielseitigkeit. Die Stufe-3-Nutzlast ist nicht ein einzelnes Malware-Stück — es ist ein Schweizer Taschenmesser krimineller Werkzeuge:
- Ransomware — Verschlüsselt Dateien und fordert Zahlung
- Credential-Stealer — Sammelt Passwörter, Browserdaten und Session-Cookies
- SMB/USB-Wurm — Breitet sich lateral über Netzwerke und Wechseldatenträger aus
- Lockscreen — Zeigt eine Vollbild-Losnachricht an
- VBS-Spreader — Verbreitet sich über Visual Basic-Skripte
- Chat-Utility — Ein Live-Kommunikationskanal zwischen Angreifern und Opfern
Der erschreckende Teil: Nicht jedes Opfer erhält die Ransomware-Behandlung. In vielen Fällen exfiltrieren die Angreifer stillschweigend Dateilisten und wählen dann gezielt Dokumente zum Stehlen aus.
Die Infrastruktur: Ihre WordPress-Site, ihr Server
Der gesamte Betrieb läuft auf kompromittierten WordPress-Websites. Dies sind keine eigens gebauten Server, die unter falschen Identitäten gemietet wurden — es sind echte Websites von echten Unternehmen und Einzelpersonen, von denen viele keine Ahnung haben, dass sie kriminelle Infrastruktur beherbergen.
Check Point scannte eine kompromittierte Site und stellte fest, dass sie eine WordPress-Version aus 2021 verwendete — fast fünf Jahre alt. Der Scan identifizierte fast 40 verschiedene Schwachstellen.
Der Fehler, der alles zu Fall brachte
Jede kriminelle Operation hat eine Schwäche, und die von StopAndProtect war spektakulär menschlich. Der Entwickler machte einen operativen Sicherheitsfehler, der so grundlegend ist, dass er fast fahrlässig erscheint: Er infizierte versehentlich seinen eigenen Computer und lud seine Desktop-Dateien auf den Sammlungsserver hoch.
Unter diesen Dateien? Der Quellcode eines Automatisierungstools zur Verwaltung injizierter Nutzlasten in kompromittierten WordPress-Sites. Und, was entscheidend ist, eine Textdatei mit einer Liste von fast 2.000 kompromittierten WordPress-Domains.
Dieser einzelne Fehler gab den Check Point-Forschern eine vollständige Karte der Infrastruktur der Operation.
Warum WordPress? Warum jetzt?
WordPress treibt etwa 43% aller Websites weltweit an. Diese Dominanz macht es zur größten Angriffsfläche des Internets. Und die unbequeme Wahrheit ist, dass ein signifikanter Teil der WordPress-Installationen schlecht gewartet wird.
Veraltete Core-Software, ungepatchte Plugins, abgelaufene SSL-Zertifikate und aufgegebene Themes schaffen eine weitläufige Landschaft verwundbarer Sites, die organisierte Kriminalgruppen im großen Maßstab ernten können.
Was das für Ihr Unternehmen bedeutet
Wenn Ihre Organisation WordPress betreibt, ist diese Geschichte ein direktes operatives Risiko. Eine kompromittierte Website bedeutet nicht nur Vandalismus oder Ausfallzeit. Es bedeutet, dass Ihre Domain als Teil einer globalen Kriminaloperation bewaffnet werden könnte.
Was jedes Unternehmen jetzt tun sollte:
- Auditieren Sie Ihre WordPress-Installationen — Überprüfen Sie Core-, Plugin- und Theme-Versionen
- Entfernen Sie nicht genutzte Plugins und Themes — Jedes inaktive Plugin ist eine potenzielle Hintertür
- Aktivieren Sie automatische Updates — WordPress unterstützt automatische Minor-Version-Updates
- Implementieren Sie eine WAF — Eine Web Application Firewall kann erste Exploit-Versuche blockieren
- Überwachen Sie unerwartete Dateien — Wenn Ihre WordPress-Site plötzlich PHP-Dateien enthält, die Sie nicht erstellt haben
Die Angreifer zählen darauf, dass Sie Ihre WordPress-Site ungepatcht lassen. Geben Sie ihnen nicht, was sie wollen.