ほとんどのサイバー犯罪調査は、攻撃の事後対応を明らかにするものです。攻撃者自身を明らかにする調査はほとんどありません。

Check Point Research社によるStopAndProtectに関する最新調査が非常に珍しいのは、まさにその点にあります。

新たに特定されたサイバー犯罪オペレーションを分析する中で、研究者たちは、攻撃者自身のインフラストラクチャを露呈させる一連のオペレーショナルセキュリティ(OPSEC)のミスを発見しました。それには、被害者ログ、スクリーンショット、ソースコード、内部管理ツール、そして世界中で5,000台以上の感染コンピュータに影響を与えたキャンペーンの証拠が含まれていました。調査ではまた、約2,000件の侵害されたWordPressドメインを参照するファイルも発見され、現代のサイバー犯罪オペレーションがどのように構築・管理されているかという稀有な内部情報を提供しました。

Check Point ResearchのEli Smadja氏によれば、「StopAndProtectは、攻撃者が数千もの適切に管理されていないWordPressサイトを、マルウェア配信、監視、データ窃取、ランサムウェアのための分散型犯罪インフラストラクチャに変える方法を示しています。Check Point社の調査結果に基づき、組織に対して、コピー、ペースト、またはコマンド実行を指示する予期しないCAPTCHAプロンプトに注意し、デバイスとセキュリティソフトウェアを最新の状態に保ち、ブラウザ外で異常な手順を実行するよう求めるウェブサイトからは直ちに離脱することを強く推奨します」とのことです。

露出したファイルは、マルウェア以上のものを明らかにしました。それは、オペレーションの背後にあるアーキテクチャを明らかにしたのです。

StopAndProtectのオペレーターたちは、専用のコマンド&コントロールサーバーに依存する代わりに、侵害されたWordPressウェブサイトを悪用することで分散型インフラストラクチャを構築しました。Statistaによれば、WordPressは2026年時点で世界のウェブサイトビルダー市場の43%以上を占めており、規模と正当性の両方を求めるサイバー犯罪者にとって魅力的な標的となっています。

攻撃者たちは、攻撃ライフサイクル全体を通じて侵害されたウェブサイトを利用し、マルウェアをホストし、追加のペイロードを配信し、感染デバイスと通信し、盗んだドキュメント、スクリーンショット、アクティビティログを保存しました。信頼されたウェブサイトを再利用することで、正規のインターネットトラフィックに紛れ込む回復力のあるインフラストラクチャを構築したのです。

この調査は、ウェブサイト所有者にとって持続的な課題も浮き彫りにしています。多くのWordPressインストールは、パッチが適用されないままだったり、古いソフトウェアやプラグインを実行したままになっています。ある事例では、Check Point Researchが、2021年版のWordPressを実行している侵害されたウェブサイトを特定しました。そのサイトには約40件の既知の脆弱性があり、放置されたウェブサイトがより大規模なサイバー犯罪オペレーションの一部となり得ることを示しています。

皮肉なことに、検出を回避するために設計された同じオペレーションが、最終的には自らを露呈することになりました。

調査中、研究者たちは、マルウェアログ、被害者のスクリーンショット、盗まれたファイル、キャンペーン管理に使用された内部ツールを含む、公開アクセス可能なディレクトリを発見しました。また、侵害されたWordPressウェブサイトを大規模に管理するための自動化ツールのソースコードと、オペレーションに関連する約2,000件の侵害されたドメインを参照するファイルも回収しました。

研究者たちはまた、オペレーターの1人が誤って自分のコンピュータを感染させた可能性があると疑っています。それにより、内部開発ファイルが、盗まれた被害者データを収集するために使用されていた同じインフラストラクチャにアップロードされてしまったのです。アーカイブは数日後に削除されましたが、一時的な露出により、キャンペーンがどのように組織され運用されていたかについて貴重な洞察が得られました。

この事件は、脅威アクターでさえも代償の大きいオペレーショナルミスを犯す可能性があること、そして彼らがミスを犯したとき、防御側は現代のサイバー犯罪キャンペーンがどのように機能しているかをより良く理解するための優位性を得ることを思い起こさせます。

攻撃の仕組み

今日の多くのサイバー攻撃と同様に、StopAndProtectは高度なエクスプロイトから始まるわけではありません。代わりに、被害者には、ますます一般的になっているClickFixソーシャルエンジニアリング技術を使用した偽のCAPTCHAが提示されます。ユーザーは自分のコンピュータ上でコマンドをコピー、ペースト、実行するよう指示され、知らず知らずのうちに、侵害されたWordPressウェブサイトから追加のマルウェアをダウンロードする多段階感染チェーンを起動してしまうのです。

このキャンペーンは、攻撃者がソーシャルエンジニアリング、信頼されたインフラストラクチャ、モジュラー型マルウェアを組み合わせて、検出の可能性を減らしながらリーチを最大化する、脅威環境におけるより広範なシフトを反映しています。多くの場合、ランサムウェアは可能な結果の1つに過ぎません。同じツールキットは、攻撃者の目的に応じて、ドキュメントを盗んだり、認証情報を収集したり、機密情報を静かに流出させたりすることもできます。

防御の推奨事項

StopAndProtect調査は、サイバー犯罪が、信頼されたインフラストラクチャ、ソーシャルエンジニアリング、大規模に動作する適応可能なマルウェアの組み合わせを通じて、どのように進化し続けているかを示しています。組織は、WordPressのインストールとプラグインを最新の状態に保ち、ユーザーにClickFix形式のソーシャルエンジニアリング技術を認識するよう教育し、疑わしいPowerShellアクティビティを監視し、マルウェアが永続性を確立したり機密データが盗まれたりする前に攻撃を阻止する予防第一のセキュリティ戦略を採用することで、リスクを軽減できます。

消費者にとっても、アドバイスは同様に明快です。ブラウザの外でコマンドをコピー、ペースト、または実行するよう求めるウェブサイトには懐疑的になってください。正規のCAPTCHAチャレンジは、決してそのような手順を要求することはありません。

結論

StopAndProtect調査は、現代のサイバー犯罪オペレーションの内部を垣間見る稀有な機会を提供し、攻撃者が数千もの侵害されたWordPressウェブサイトを武器化した方法だけでなく、彼ら自身のオペレーショナルミスがキャンペーンの背後にあるインフラストラクチャを露呈させた経緯も明らかにしています。

感染チェーン、マルウェアコンポーネント、侵害指標(IOC)、防御推奨事項を含む完全な技術分析に関心のあるセキュリティ実務者は、Check Point Researchの完全なレポートをこちらからお読みください。