StopAndProtect adıyla izlenen kampanya, yaklaşık 2.000 ele geçirilmiş WordPress sitesini altyapı olarak kullanıp kötü amaçlı yazılım dağıttı, veri çaldı ve kurban makinelerinden günlük topladı. Operasyon, fidye yazılımı kurmakla sınırlı kalmadı; bazı vakalarda sessiz dosya hırsızlığı öne çıktı, bazı sistemlerde ise ekran kilitleyici ve saldırganla kurban arasında iletişim kuran bir sohbet bileşeni devreye girdi.
Check Point Research’ün incelemesine göre kampanya, Mayıs 2026 ortasında aynı adla anılan bir fidye yazılımı ailesinin görülmesiyle takip edilmeye başlandı. Araştırmacılar, saldırı zincirinin ClickFix tipi bir sosyal mühendislik tekniğiyle başladığını, bunun da mağdurun bir PowerShell komutu çalıştırmasına yol açtığını belirtiyor. Bu ilk adımın ardından sahneye .NET tabanlı indiriciler ve yükleyiciler giriyor, ardından kampanyanın ana bileşenleri yükleniyor.
ClickFix tuzağı PowerShell komutuna, oradan çok aşamalı zincire gidiyor
Analize göre saldırının ilk aşaması, sahte bir CAPTCHA ya da benzeri doğrulama ekranı üzerinden kullanıcıyı kandırıyor. Kurbanın komut kopyalayıp yapıştırması ya da çalıştırması isteniyor ve bu işlem PowerShell üzerinden çok aşamalı bir enfeksiyon sürecini başlatıyor. Check Point, bu aşamada önce istatistikleri komuta ve kontrol sunucusuna bildiren bir .NET indiricisi, ardından sandbox kontrolleri ve ek kayıt mekanizmaları içeren ikinci bir .NET indirici/yükleyici tespit etti.
Üçüncü aşamada kampanyanın asıl yükü devreye giriyor. Bu aşamada SilentEncryptor, NetworkShareScanner, VBS spreader, LockScreen, SimpleChatProxy ve SilentDataCollector adlı altı bileşen kullanılıyor. SilentEncryptor, enfekte olmuş tüm bilgisayarlardaki dosyaları ya da yalnızca belirli makine adlarına sahip sistemleri şifreleyebiliyor. NetworkShareScanner, SMB ve USB üzerinden yayılım yapan bir solucan gibi davranıyor. VBS spreader ise kötü amaçlı yazılımı sabit disklere ve çıkarılabilir medyaya kopyalıyor, ağı tarıyor ve WMI üzerinden yatay hareket ediyor.
LockScreen bileşeni kullanıcı girişini engelleyip ödeme için QR kod içeren bir fidye mesajı gösteriyor. SimpleChatProxy, kurban ile operatör arasında özel bir sohbet uygulaması gibi çalışıyor. SilentDataCollector ise tüm sürücülerin listesini oluşturuyor, bunu şifreliyor ve C2 sunucusuna gönderiyor. Operatör daha sonra sunucuya bir komut dosyası yükleyebiliyor; stealer bu dosyayı okuyarak belirli dosyaları topluyor.
Yayımlanan incelemede, fidye yazılımının her zaman devreye girmediği de vurgulanıyor. Çoğu olayda tehdit aktörleri sistemlerdeki dosya listelerini ve ardından tek tek seçilmiş dosyaları gizlice topladı. Bu nedenle kampanya, yalnızca şifreleme değil, veri hırsızlığı ve gözetim odaklı bir operasyon olarak da kayda geçti.
Çalınan veriler, sahte CAPTCHA’lar ve kötüye kullanılan eklentiler
Operasyonu ayakta tutan unsurların başında ele geçirilmiş WordPress siteleri geliyor. Bu siteler birden fazla amaç için kullanıldı: kötü amaçlı yazılım aşamalarını barındırmak, komut ve kontrol sunucusu olarak talimat göndermek, kurbanlardan sızdırılan günlükleri saklamak. Araştırmacılar, saldırganların operasyonel güvenlik hataları sayesinde daha derin içgörü elde ettiklerini; ayrıntılı enfeksiyon günlükleri, kurban makinelerinden alınmış ekran görüntüleri ve ele geçirilmiş siteleri topluca yönetmeye yarayan araçların açığa çıktığını aktarıyor.
Check Point, kampanya kapsamında yaklaşık 2.000 WordPress sitesinin ele geçirilmiş olabileceğini tahmin ediyor. Bu sitelerin çoğunda yalnızca eski WordPress sürümleri değil, aynı zamanda yüklü eklentiler de bulunuyor. Örnek olarak, 2021 tarihli bir WordPress sürümü çalışan bir siteye dikkat çekiliyor; bu kurulumun yaklaşık 40 ayrı güvenlik açığına açık olduğu belirtiliyor. Metinde belirli CVE kodları paylaşılmadığı için bu açıklar ayrıca listelenmiyor.
Ele geçirilmiş siteler, ziyaretçiye sahte ClickFix tarzı CAPTCHA istemleri gösterecek şekilde değiştirilmiş durumda. Böylece kullanıcı doğrulama yaptığını sanarken enfeksiyon süreci kendi kendine ilerliyor. Araştırmacıların anlattığına göre, bu yöntemle tetiklenen PowerShell komutu önce birinci aşama .NET indiricisini çalıştırıyor; bu bileşen C2 sunucusuna durum raporu gönderip bir sonraki aşamayı yüklüyor. İkinci aşama, sandbox denetimleri ve daha yoğun kayıt toplama işlevleriyle ana bileşenleri başlatıyor.
Üçüncü aşamada yer alan SilentEncryptor, hem genel bir kitlesel şifreleme davranışı gösterebiliyor hem de belirli ana bilgisayar adlarıyla sınırlandırılabiliyor. NetworkShareScanner ise SMB ve USB yoluyla yayılıyor. VBS spreader, sabit diskler ve taşınabilir medya üzerinden kopyalanırken ağ taraması yapıyor ve WMI ile yanlara doğru ilerliyor. LockScreen, kullanıcı girişini kesip QR kodlu fidye notunu ekrana taşıyor. SimpleChatProxy kurbanla operatör arasındaki iletişimi yönetiyor, SilentDataCollector da sürücü listesini şifreleyip dışarı aktarıyor.
Stealer’ın yeni sürümlerinde ek yetenekler de bulundu. Bunlar arasında geçerli e-posta adreslerini ayırt eden bir keylogger, WhatsApp üzerinden veri çekme, ağ paylaşımlarını bağlama ve ayırma, ayrıca kullanıcı etkinliğinin her 30 saniyede bir ekran görüntüsünü alma yer alıyor. Check Point, operatörün bir WhatsApp arama anahtar kelimesi girebildiğini, web ve masaüstü sürümlerinin desteklendiğini bildirdi. Stealer, kurban pasif hale geldiğinde WhatsApp otomasyonunu kullanarak arama kutusuna odaklanıyor, belirtilen anahtar kelimeyi ya da kişi adını yazıyor, kişi bilgisini açıyor ve ardından ekran görüntüsü yakalıyor.
İnceleme, saldırganların WordPress tarafında özel bir yükleyici de kullandığını ortaya koydu. ZIP arşivi içindeki “uploader-installer.php” adlı PHP dosyası, özel bir WordPress eklentisi kurmak için kullanılıyor. Bu eklenti, wp-content/mu-plugins dizininde bir must-use yani MU eklenti dosyası oluşturuyor. MU eklentileri WordPress tarafından zorunlu yüklenen eklentiler olduğu için, bu yöntem saldırgana kalıcı bir tutunma alanı sağlıyor.
Kurulan eklenti, geçerli kimlik bilgilerine sahip olan herkesin WordPress sitesine neredeyse WordPress kök dizini altındaki herhangi bir yola PHP dosyaları dahil rastgele dosyalar yüklemesine izin veriyor. PHP dosyası yüklenmesi uzaktan kod çalıştırma yolunu açabiliyor. Site müdahale altına alındıktan sonra eklenti kendini devre dışı bırakıyor ve tespitten kaçmak için dosyasını siliyor.
Ele geçirilmiş sitelere ayrıca “verify” adlı zararlı bir eklenti de yerleştirilmiş. Bu eklenti, Windows dışındaki ziyaretçilere orijinal içeriğin üzerine sahte bir CAPTCHA bindiriyor. Eklenti, saldırgan “activator.php” adlı bir dosyayı yükledikten sonra etkinleşiyor ve ardından kendini siliyor.
Kampanya kapsamında dışarı taşınan dosyalar arasında kurban makinelerinden alınmış çalınan veriler de var. Mayıs ortasından Temmuz 2026 sonuna kadar 700’den fazla arşiv tespit edildi. Bunların arasında dahili geliştirme dosyaları ve araçlar da bulunuyor; bu durum, operatörün kendi enfeksiyon zincirine yanlışlıkla dahil olmuş olabileceğini düşündürüyor. Bu araçlar arasında ele geçirilmiş WordPress sitelerini yönetmek için kullanılan “fMain.frm” adlı özel bir otomasyon yardımcı programı da yer alıyor.
Bu otomasyon aracı, botnet operatörünün ele geçirilmiş WordPress sayfalarını topluca yönetmesine izin veriyor. Check Point’in aktardığına göre araç, ele geçirilmiş sitelerdeki güvenli yükleme ve silme amaçlı PHP betiklerini kullanarak ek dosyalar yükleyip silebiliyor, sahte CAPTCHA’lı ClickFix’i açıp kapatabiliyor, önbellekleme ayarlarını yönetebiliyor.
24 Temmuz 2026 itibarıyla kampanyanın 6.000’den fazla benzersiz IP adresini etkilediği bildirildi. Bunların büyük bölümü ABD’de 1.852, Rusya’da 630 ve Hindistan’da 630 IP adresi olarak sıralandı. Eli Smadja, StopAndProtect’in saldırganların bakımsız bırakılmış binlerce WordPress sitesini kötü amaçlı yazılım dağıtımı, gözetim, veri hırsızlığı ve fidye yazılımı için dağıtık bir suç altyapısına dönüştürebildiğini gösterdiğini söyledi.
Smadja, kuruluşların beklenmedik CAPTCHA istemlerine karşı dikkatli olması gerektiğini, özellikle komut kopyalayıp yapıştırmayı ya da çalıştırmayı isteyen sayfalardan uzak durulması gerektiğini belirtti. Aynı açıklamada cihazların ve güvenlik yazılımlarının güncel tutulması ve tarayıcı dışında sıra dışı adımlar isteyen sitelerin hemen terk edilmesi çağrısı yapıldı.