StopAndProtect: тысячи сайтов на WordPress заражают посетителей вымогателем SilentEncryptor

Схема начинается с обмана. Человек открывает взломанный сайт и видит привычную проверку "я не робот". Однако вместо обычного щелчка ему предлагают скопировать строку текста. Затем эту строку нужно вставить в командную оболочку Windows. Так жертва сама запускает вредоносный код. Приём известен как ClickFix (принуждение пользователя вручную выполнить команду). Заметное применение техники началось в 2024 году. С тех пор она стала популярной среди злоумышленников. Причина проста: приём обходит многие средства защиты. Пользователь действует добровольно, поэтому система не фиксирует взлом. Сайт при этом выглядит привычно и не вызывает подозрений. От жертвы требуется лишь внимательность, но именно её и усыпляют.

После запуска команды на компьютер попадает небольшой загрузчик. Сначала он осматривает систему. Затем он связывается с внешним сервером и получает основную полезную нагрузку. Вся инфраструктура кампании расположена на скомпрометированных сайтах. Это даёт злоумышленникам масштаб без дополнительных расходов. Владельцы ресурсов часто не знают о чужом присутствии. При этом их площадки выглядят для посетителей абсолютно обычными. Уязвимости в популярных расширениях для WordPress открывают доступ к сайту. Поэтому обновление платформы напрямую влияет на безопасность аудитории. Чем старее дополнение, тем проще его использовать. Через один сайт атакующие получают доступ к сотням ничего не подозревающих людей.

Финальный этап - программа-вымогатель SilentEncryptor. По данным аналитиков, она получает с командно-контрольного сервера список целей. Там же указано, какие файлы нужно зашифровать. Тексты с требованием выкупа тоже загружаются динамически. Поэтому содержание сообщения меняется от жертвы к жертве. Злоумышленник не полагается на один шаблон внутри программы. Отдельный интерес вызывают криптовалютные кошельки. Вредоносная программа ищет данные популярных сервисов: Ethereum, Bitcoin, Tron, Dash, Exodus. Ключи от таких кошельков восстановить почти невозможно. Резервные копии здесь тоже мало помогают. Для владельца это означает полную потерю средств.

Редкую деталь раскрыла ошибка операционной безопасности. Судя по всему, злоумышленник заразил собственный компьютер. Затем он выгрузил файлы своего рабочего стола на тот же командный сервер. Так у исследователей появились рабочие материалы операции. Среди них черновики, заметки и служебные файлы. Подобные промахи случаются нечасто. Обычно атакующие тщательно разделяют личные и служебные системы. Здесь же граница оказалась стёрта. Это позволило точнее понять устройство кампании. Стали видны и связи между её отдельными частями.

Для поиска заражённых машин применяют правило YARA. Это формат описания признаков вредоносных файлов. Правило учитывает не только конкретные образцы. Оно охватывает общие черты всего семейства. Проверка большого архива вредоносных файлов дала ещё 22 образца. Все они ведут себя схожим образом. Такой подход расширяет видимость за пределы одного файла. Кроме того, он устойчивее к мелким правкам кода. Простые списки индикаторов устаревают быстро. Поведенческие признаки живут дольше. Поэтому охота на угрозы по характеристикам даёт больше пользы.

Последствия для компаний включают потерю данных, простой и расходы на восстановление. Утечка сведений клиентов добавляет репутационные и юридические риски. Защита начинается с простой гигиены. Обновляйте WordPress, темы и расширения. Удаляйте ненужные дополнения. Проверяйте файлы сайта на посторонние вставки. Включайте двухфакторную аутентификацию для администраторов. Храните резервные копии отдельно от рабочей сети. Отдельное правило касается привычек пользователей. Не выполняйте команды, которые предлагает сайт. Настоящая проверка "я не робот" никогда не требует работы с командной строкой. Сомнение в таком случае дешевле восстановления данных.