StopAndProtect: rund 2.000 gekaperte WordPress-Seiten schleusen Fake-CAPTCHAs an Windows-Rechner

Sicherheitsforscher von Check Point haben eine großangelegte Kampagne mit dem Namen „StopAndProtect“ beschrieben, die seit Mitte Mai 2026 rund 2.000 kompromittierte WordPress-Seiten als Verteilnetz für Infostealer nutzt. Der Aufhänger für die Öffentlichkeit war ein Fehler auf Angreiferseite: Auf Teilen der Infrastruktur waren die Verzeichnisse offen konfiguriert, so dass Ermittler Logdateien, gestohlene Datenarchive und die Zieldomains einsehen konnten.

Wie die Falle im Browser aussieht

Wer eine gekaperte Seite ansteuert, sieht ein täuschend echt nachgebautes Cloudflare-Overlay mit der Aufforderung „Bitte bestätige, dass du kein Roboter bist“. Der Trick ist die zweite Stufe, die die Sicherheitsforschung ClickFix nennt: Statt eines Klicks wird der Nutzer aufgefordert, die Tastenkombination „Windows plus R“ zu drücken und einen vorgefertigten Text einzufügen. In der Zwischenablage liegt bereits ein PowerShell-Einzeiler, der die Ausführungsrichtlinie umgeht und Nachladeskripte von der Angreifer-Infrastruktur holt.

Die Seite passt sich dabei an Sprache und Betriebssystem des Besuchers an. Wer nicht auf Windows kommt, sieht das Overlay in der Regel gar nicht. Auf befallenen WordPress-Installationen sitzt das ganze in einer schmalen JavaScript-Injektion im Frontend, oft eingehängt an eine harmlos aussehende Theme- oder Plugin-Datei.

Was Check Point in den offenen Verzeichnissen gefunden hat

Zwischen Mitte Mai und Ende Juli 2026 sammelten die Analystinnen und Analysten laut eigenem Bericht rund 31.000 Screenshots infizierter Rechner. In offenen Directories lagen zusätzlich mehr als 700 komplette Datenarchive von Opfern, darunter Zugangsdaten, Session-Cookies, Krypto-Wallet-Dateien und Auszüge aus WhatsApp-Kontakten. Bis zum 24. Juli tauchten in den Logs über 6.000 eindeutige IP-Adressen infizierter Systeme auf, mit Schwerpunkt auf den USA (rund 1.850 IPs) sowie Russland und Indien (jeweils rund 630).

Der Payload ist modular. Er kombiniert klassische Infostealer-Funktionen mit einem Keylogger und einer Screenshot-Routine, die im 30-Sekunden-Takt auslöst. Rapid7 hatte im März 2026 bereits eine kleinere Variante desselben Musters beschrieben, damals mit rund 250 gekaperten Seiten in zwölf Ländern und Payloads aus der Vidar-Familie plus zwei bis dahin unbenannter Stealer.

Wie WordPress-Seiten in die Kampagne geraten

Check Point benennt keinen einzelnen CVE, sondern spricht von einer Kombination aus veralteten Plugins, ungeschützten wp-admin-Oberflächen und wiederverwendeten Zugangsdaten. Das Schweizer NCSC hat parallel dazu berichtet, dass die Kampagne unter anderem die kombinierte Schwachstelle „WP2Shell“ (CVE-2026-63030 und CVE-2026-60137) ausnutzt. WordPress hatte die entsprechenden Updates am 17. Juli veröffentlicht. Das NCSC schätzt die Zahl weltweit betroffener Seiten auf über 100.000.

Die Angreifer bringen nach dem Einbruch meist zwei Dinge auf der Seite unter: eine JavaScript-Datei im Theme oder Plugin, die das Fake-CAPTCHA rendert, und einen versteckten PHP-Uploader in einem selten geöffneten Ordner unter /wp-content/uploads/. Beides läuft still, ohne im Backend als neuer Beitrag oder Plugin sichtbar zu werden.

Was das für Webdesigner bedeutet

Die Kampagne trifft weniger die Endnutzer der eigenen Kundschaft als die Reputation der Seite, auf der das Overlay auftaucht. Google, Chrome-Safebrowsing und die Antivirus-Hersteller kennzeichnen kompromittierte Domains innerhalb von Tagen als „unsicher“, die Rankings brechen ein und der Adresseintrag verliert seinen grünen Rand. Wer heute Kundensites betreut, kann davon ausgehen, dass mindestens ein Teil der eigenen Installationen in den 2.000 offenen Zielen auftaucht oder in der nächsten Welle auftauchen wird.

Was heute konkret zu tun ist

• WordPress-Kern, Plugins und Themes auf dem aktuellen Stand halten. Der WP2Shell-Patch vom 17. Juli ist Pflicht.
• Admin-Konten prüfen und alle Accounts entfernen, die niemand kennt oder die seit Wochen nicht mehr gebraucht wurden.
• Zwei-Faktor-Authentifizierung für jeden Admin-Login erzwingen, wp-admin idealerweise per IP-Whitelist oder Basic Auth abschotten.
• Im Frontend nach unerwarteten JavaScript-Snippets suchen, die ein CAPTCHA-Overlay einblenden oder Text in die Zwischenablage schreiben. Ein Blick in die Netzwerk-Konsole reicht meist.
• Verzeichnis /wp-content/uploads/ nach PHP-Dateien durchsuchen. Regulär gehört dort keine einzige hin.
• Access-Logs der letzten 60 Tage auf Sammel-Requests an unbekannte PHP-Dateien und auf Login-Erfolge aus untypischen Ländern gegenlesen.

Wer regelmäßig mit fremden WordPress-Installationen zu tun hat, findet im findflix-Leitfaden für Webdesigner eine Struktur, wie sich Bestandsprüfungen als planbare Dienstleistung anbieten lassen, statt sie im Notfall unbezahlt zu leisten.