WordPress サイトを侵害して C2 に利用：StopAndProtect というマルウェア・オペレーションを検出

Hackers Hijack Thousands of WordPress Sites to Use as C2 Servers for StopAndProtect Malware

2026/08/18 CyberSecurityNews — 侵害された数千の WordPress Web サイトが、新たに確認された StopAndProtect というマルウェア・オペレーションにより、大規模な犯罪目的の Command-and-Control (C2) インフラストラクチャへと変えられている。このキャンペーンは、世界各地の侵害済みマシンから、機密性の高い企業文書／システムのスクリーンショット／ユーザー認証情報／進行中のコミュニケーション・ログなどのデータを窃取した上で、二重恐喝型ランサムウェアを組み合わせている。

脅威アクターのセキュリティ上の失敗により露出した内部ログからは、世界各地の 6,000 件を超える重複のない被害 IP アドレスが確認されており、侵害率が最も高いのは米国／ロシア／インドである。また、このオペレーターは、侵害した約 2,000 件の WordPress ドメインを積極的に管理し、ペイロードの配布／制御チャネルの維持／流出させたファイルの保存に悪用する、ローテーション方式のインフラ・プールを構築している。

ハッカーが WordPress サイトを C2 サーバへ転用

最初の侵害ベクターでは、脆弱な WordPress Web サイトへ注入された、偽 CAPTCHA による欺瞞的な誘導が用いられる。それにより、侵害済みページへアクセスした訪問者に対して、悪意のある PowerShell コマンドをターミナルへコピー・アンド・ペーストするよう指示し、偽の人間確認プロンプトを表示する。

コマンドが実行されると、2 つの PowerShell スクリプトとモジュール型 .NET ローダーによる多段階の感染シーケンスが開始され、最終的には、ランサムウェア／クレデンシャル・スティーラー／画面ロッカー／VBS 拡散ツール／USB・ネットワーク・ワームなどを含む、多用途のツールキットが展開される。

Check Point Research が公開した調査レポートによると、このキャンペーンは情報収集と選択的な収益化を重視しており、従来の短期的な侵害攻撃とは異なる。脅威アクターは、ランサムウェアを展開するかどうかを判断する前に、大量の文書の列挙／キー入力の記録／接続されたネットワーク共有の把握／定期的なスクリーンショットの取得／ローカル・コミュニケーション・データの収集を実施している。

侵害された複数の WordPress ステージング・サーバでは、露出した PHP エンドポイントやオープン・ディレクトリ・リスティングが公開状態でアクセスできる状態に残されていた。それによりセキュリティ研究者たちは、内部活動ログ／被害者のテレメトリ／未加工のソース・コードを調査することが可能になった。

注目すべき事例として挙げられるのは、オペレーターが自身のマシンを感染させ、誤って内部開発ファイルをアップロードしたことだ。その中には、乗っ取った WordPress ドメインの一括管理／偽 CAPTCHA の表示・非表示の切り替え／ボットネット全体への新たなペイロード展開に使用する、カスタム Visual Basic 6 ツールも含まれていた。

このキャンペーンが浮き彫りにするのは、保守されていないコンテンツ管理システム (CMS) がもたらす深刻なリスクであり、分析対象となった 1 つのサイトは、2021年以降アップデートされておらず、約 40 件の未修正の脆弱性にさらされていた。未修正の WordPress の脆弱性と古いプラグインは、正規の Web サイトを悪意のある通信の中継基盤へと変換するための永続的なバックドアを攻撃者に提供する。

攻撃者によるランサムウェア展開を阻止するには、内部ネットワーク内でラテラル・ムーブメントの試行で悪用される、これらの侵害済みエンドポイントへの対処が不可欠である。

侵害された Web サイトの悪用は、もはや単純なフィッシング・ホストやトラフィック・リダイレクターとしてだけに限られていない。現在では、悪意のある通信を正規の Web トラフィックに紛れ込ませる、完全に機能する C2 サーバとして武器化されている。

Web サイト管理者に求められるのは、WordPress のコア・ファイル／使用中のテーマ／サードパーティ製プラグインに対する速やかなアップデートの適用と、未認可の PHP スクリプト／変更された “.htaccess” ファイル／不審な管理者アカウントに対する定期的なスキャンである。

エンドユーザーは、ターミナルでのコマンド実行を要求する Web サイトを、直ちに侵害につながる可能性があるものとして扱うべきである。その一方で、セキュリティ・チームに求められるのは、許可されていない PowerShell の実行と、通常とは異なる外向きのデータ転送について、エンドポイント・テレメトリを監視することである。

侵害指標 (IOC)

compromised websites	maximumrock[.]roplatinumcar[.]canorakremer.co[.]ukpharmart[.]aeksr-racingparts[.]com
compromised base C&C websites	v-k.com[.]uawww.lapellelaser[.]plwww.parsrulman[.]commectcalcutta[.]comdischerniation[.]com
PowerShell script stage 1	cab7f141fd6f2c58055b3731ef6a64b8a2d4d88a974770b047da19c0904322f0
PowerShell script stage 2	cc8aa2bd7bf74ca0bbc5cb03a7b18eae73094b450d11654528c05685fe12e0c9
stage 1 – downloader	99bcb531d6dd3c93d3f28f03d6e4659c865a4ffbd2fb514e809017f3446a940b8337bf29100a5871b1275227006dc2a43b21b751e5ce7e2032364fd78af59ac54dee2fe98d4da75ffb259c03b50202212dafc85691429a28641a8068eddea504
stage 2 – downloader & loader	9765b1342cc7eb982a73bb1f94c6c500b63dc817073b76ea926c1097078d35277d3604d0728b242c72bd144b8661ebf63c1042a4f5dd441bc8c8507c701df20c976cfa57e1efacbe517b7e3441e9473d275ec1d9ad8ab69ddf8ae3a966aaa153
stage 3 – encryptor	b79b9b027f76579555069a7506d946648a8cb3126c0dda837dc9fee0e5c7948965550f6d0ffec8421f703cdc7273d9c0563b3d480fe6702bad294a18afe721430080d0dd72eda4850a02e51c0e5c6f768423dfe970cafae2ab52ceee75972b40
stage 3 – SMB/USB worm	8d1e23630a6695fa9c793d73832f59436c98bba30ed81c16d01b549bd17feab410babb15e08f9fbd72cce11713a273b971c910dd5bdb989a3f6ff4d9c8e372c0f042240c3de00c46dee625916bf246b7e87481e4081a6a97208b091409766e41
stage 3 – lockscreen	11a635d70444605ede1de0aa227a9fd7cfa4554e75bea93ce18b639ca571a42e2adbb2c206be7f23bf77f8f50d1ac0f809511c0b4591421931f81a6eaa42c68c38602b76f6c65644b01fa4d81708251c159a883253cda8876396dc7212324ab9
stage 3 – credential stealer	23cbabfe3ca3a7f1eb365f772d6a4ed8095cb8f7755622cc82e804478259dc70
stage 3 – VBS spreader	b3dff910b350ace27d64cbd79405cb154a1967e366d7b88170c3e8303b1d08ad
stage 3 – chat utility	3ed8f2cc8da4853fd770ff38f0cbce6d9d4a84e75a828fc0cec3e3ec60db94f93ba161ca7b8dcf389ec3236c9ddfb943e9d1766181b1b81a227649cad46132a8

Web サイトの運用管理が不十分な状態が放置されると、攻撃者による不正アクセスの踏み台として悪用されるリスクが高まります。コンテンツ管理システムの代表例である WordPress が狙われると、サイト改ざんによる通信の偽装／悪意あるコマンドの実行誘導／内部データの無断抽出／端末の不正制御といった多岐にわたる深刻な被害が発生します。影響として、自組織の通信が犯罪用サーバーに組み込まれ、重要な機密情報や認証情報が漏洩する危険性があります。対策には、システム本体やプラグインを常に最新状態へ維持すること／不明なスクリプトの不審な挙動の監視／端末上での予期せぬスクリプト実行の制限が効果的です。