\n
Un grupo criminal identificado<\/strong> <\/a>por\u00a0Check Point Research<\/strong>\u00a0como\u00a0StopAndProtect<\/b>\u00a0utiliz\u00f3 casi 2.000 sitios de WordPress mal mantenidos para distribuir<\/b>\u00a0Malware<\/strong>\u00a0capaz de robar\u00a0seeds de wallets<\/a> de criptomonedas, contrase\u00f1as y archivos<\/b>\u00a0desde computadoras con Windows. Los detalles fueron publicados el 18 de agosto, tras vincular una muestra de\u00a0ransomware<\/b>\u00a0detectada a mediados de mayo con una campa\u00f1a de extorsi\u00f3n y vigilancia.<\/p>\n Lo que distingue a esta operaci\u00f3n de otras similares es\u00a0la infraestructura<\/b>\u00a0utilizada. En lugar de rentar o comprometer servidores propios, los atacantes convirtieron dominios de WordPress leg\u00edtimos en\u00a0plataformas para alojar payloads<\/b>,\u00a0redirigir instrucciones a equipos infectados por el malware y almacenar los archivos robados<\/b>. El investigador\u00a0Jarom\u00edr Ho\u0159ej\u0161\u00ed<\/strong>\u00a0se\u00f1al\u00f3 que un mismo servidor\u00a0puede\u00a0cumplir todas esas funciones simult\u00e1neamente<\/b>, sin que los criminales desembolsen un solo centavo.<\/p>\n La t\u00e1ctica de propagaci\u00f3n del malware se basa en\u00a0p\u00e1ginas falsas de CAPTCHA<\/b>. Los usuarios creen que deben completar una verificaci\u00f3n para acceder a un sitio, pero en realidad se les instruye a\u00a0copiar y pegar un comando PowerShell en su terminal<\/b>. Ese comando descarga\u00a0payloads .NET<\/b>\u00a0que permiten\u00a0extraer contrase\u00f1as guardadas, seeds de wallets y otros datos sensibles<\/b>\u00a0del equipo comprometido<\/strong><\/a>.<\/p>\n Las versiones m\u00e1s recientes del malware van m\u00e1s lejos:\u00a0registran pulsaciones de teclado<\/strong>,\u00a0capturan pantallas cada 30 segundos, copian archivos de carpetas compartidas y unidades USB,<\/b>\u00a0e incluso\u00a0cifran el equipo<\/b>\u00a0para exigir un pago como ransomware. Los usuarios deben\u00a0abandonar de inmediato<\/b>\u00a0cualquier sitio que les solicite pegar o escribir comandos en su sistema.<\/p>\n La inteligencia m\u00e1s valiosa sobre la campa\u00f1a provino de los propios servidores de los atacantes. Directorios y archivos de registro quedaron expuestos en la web por\u00a0malas pr\u00e1cticas de seguridad<\/a><\/b>, y Check Point sospecha que uno de los equipos de los criminales fue comprometido, lo que deriv\u00f3 en la\u00a0filtraci\u00f3n accidental de archivos internos<\/b>.<\/p>\n Entre esos archivos, Ho\u0159ej\u0161\u00ed encontr\u00f3\u00a0el c\u00f3digo fuente de una herramienta de automatizaci\u00f3n<\/strong>\u00a0escrita en Visual Basic 6 que permit\u00eda\u00a0controlar los sitios hackeados de forma remota<\/b>. Al 24 de julio, el malware ya hab\u00eda infectado m\u00e1s de 6.000 direcciones IP \u00fanicas<\/b>, con\u00a01.852 v\u00edctimas<\/b>\u00a0en Estados Unidos y\u00a0630\u00a0<\/b>en Rusia e India respectivamente. M\u00e1s de\u00a020.000 capturas de pantalla\u00a0<\/b>de equipos comprometidos fueron halladas en uno de los directorios abiertos.<\/p>\n","protected":false},"excerpt":{"rendered":" Puntos clave de la noticia: El grupo criminal StopAndProtect utiliz\u00f3 casi 2.000 blogs de WordPress comprometidos para distribuir malware que roba seeds de wallets cripto. El ataque enga\u00f1a a usuarios de Windows con falsas p\u00e1ginas de CAPTCHA que los inducen a ejecutar comandos PowerShell maliciosos en su equipo. Entre mayo y julio, la campa\u00f1a infect\u00f3 … <\/p>\n![\"Hackers](\"https:\/\/crypto-economy.com\/es\/\/wp-content\/uploads\/sites\/4\/2026\/05\/Hacker.png\")
<\/p>\nC\u00f3mo Opera el Malware en WordPress<\/h2>\n
![\"Privacidad](\"https:\/\/crypto-economy.com\/es\/\/wp-content\/uploads\/sites\/4\/2023\/11\/de.fi-security.jpg\")
<\/p>\nErrores de los Propios Atacantes<\/h2>\n