StopAndProtect: Hacker nutzen 2.000 WordPress-Seiten als C2-Server
Veröffentlicht am: 18.08.2026 um 22:51 Uhr | Redaktion boerse-global.de
Sicherheitsexperten von Check Point Research haben eine umfangreiche Cyberoperation aufgedeckt, die unter dem Namen „StopAndProtect“ operiert. Die Kampagne nutzt eine weitreichende Infrastruktur aus tausenden kompromittierten WordPress-Webseiten, um bösartige Aktivitäten zu steuern und zu koordinieren.
Aktuellen Berichten zufolge dienten dabei etwa 2.000 manipulierte Domains als sogenannte Command-and-Control-Server (C2), über welche die Hintermänner die Kontrolle über infizierte Opfersysteme ausüben.
Infektion über gefälschte CAPTCHA-Abfragen
Die Verbreitung der Schadsoftware erfolgt über eine Methode, die in Fachkreisen als „ClickFix-Technik“ bekannt ist. Dabei werden Besucher der kompromittierten Webseiten mit gefälschten CAPTCHA-Abfragen konfrontiert.
Diese Täuschungsmanöver zielen darauf ab, Nutzer zur Ausführung schädlicher Skripte zu bewegen, indem sie vorgeben, eine notwendige Sicherheitsprüfung zu sein. Sobald ein Anwender die Anweisungen befolgt, wird das System infiziert und stellt eine Verbindung zur C2-Infrastruktur der Angreifer her.
Analysen der Sicherheitsforscher zeigen das enorme Ausmaß dieser Operation. Bisher konnten über 6.000 betroffene Opfer-IP-Adressen identifiziert werden. Die geografische Verteilung der Betroffenen konzentriert sich dabei primär auf die USA, Russland und Indien.
Wer sich gegen die zunehmende Professionalisierung von Cyberangriffen schützen möchte, findet in diesem E-Book wertvolle Strategien zur Abwehr aktueller Bedrohungen. Erfahren Sie, wie Sie Sicherheitslücken effektiv schließen und proaktiv gegen digitale Risiken vorgehen. Gratis-E-Book zur Cyber-Security jetzt herunterladen
Die hohe Anzahl an kompromittierten WordPress-Installationen verdeutlicht die Effizienz, mit der die Angreifer Sicherheitslücken in weit verbreiteten Content-Management-Systemen ausnutzen, um eine belastbare Serverstruktur für ihre Zwecke aufzubauen.
Schwere Sicherheitsfehler der Angreifer offenbaren Details
Trotz der technischen Raffinesse beim Aufbau der Infrastruktur unterliefen den Betreibern der StopAndProtect-Kampagne gravierende Fehler bei der eigenen Absicherung (OPSEC). Durch eine Fehlkonfiguration wurden interne Protokolle und Teile des Quellcodes der Operation öffentlich zugänglich. Diese exponierten Daten ermöglichten es den Analysten, tiefe Einblicke in die Funktionsweise und den tatsächlichen Umfang der Kampagne zu gewinnen.
Die Auswertung dieser Logs lieferte konkrete Belege für die Anzahl der kontrollierten Systeme und die Vorgehensweise der Hintermänner. Ohne diesen operativen Fehler wäre es deutlich schwieriger gewesen, die Verbindungen zwischen den tausenden missbrauchten WordPress-Seiten und der zentralen Steuerung der Kampagne lückenlos nachzuweisen.
Entdeckung und zeitlicher Verlauf
Die StopAndProtect-Operation wurde von Check Point Research bereits Anfang Mai des laufenden Jahres entdeckt. In den darauffolgenden Monaten beobachteten Experten die Weiterentwicklung der Kampagne, bis Mitte August detaillierte Erkenntnisse über die Struktur der Command-and-Control-Server sowie die Fehler der Angreifer veröffentlicht wurden.
Angesichts immer neuer Cyberrisiken und gesetzlicher Anforderungen ist eine fundierte Informationsbasis für den digitalen Schutz unerlässlich. Dieser kostenlose Report klärt darüber auf, welche technischen und rechtlichen Pflichten für eine sichere IT-Infrastruktur heute entscheidend sind. Kostenlosen Cyber-Security-Report sichern
Die Vorfälle unterstreichen die anhaltende Bedrohung für Betreiber von Webseiten auf WordPress-Basis. Sicherheitsforscher raten dazu, CMS-Installationen regelmäßig zu aktualisieren und auf verdächtige Verhaltensweisen oder unautorisierte Änderungen im Dateisystem zu prüfen.
Die Nutzung legitimer Sicherheits-Plugins und die Sensibilisierung von Endnutzern gegenüber ungewöhnlichen Aufforderungen zur Skriptausführung bleiben wesentliche Bestandteile der Verteidigungsstrategie gegen derartige großangelegte Infrastruktur-Missbrauchsfälle.
