워드프레스로 제작된 약 2000개 웹사이트가 해킹돼 암호화폐 지갑 파일 탈취와 랜섬웨어 배포에 악용됐다는 보도가 나왔다.
디크립트(Decrypt)는 사이버보안 기업 체크포인트리서치(Check Point Research)가 이 같은 공격 캠페인을 확인했다고 보도했다. 체크포인트리서치는 해당 악성 행위를 '스톱앤드프로텍트(StopAndProtect)'로 명명했으며, 지난 5월 중순 처음 발견됐다고 밝혔다.
디크립트는 공격자가 침해된 사이트에 가짜 캡차를 띄워 윈도 이용자가 파워셸 명령을 실행하도록 유도했다고 전했다. 이 과정에서 자격 증명과 암호화폐 지갑 복구 문구를 탈취하고, 네트워크와 USB를 통해 확산하며, 화면 잠금과 랜섬웨어 배포 기능을 갖춘 악성 프로그램 설치가 이뤄졌다고 보도했다.
체크포인트리서치는 공격자가 감염 로그, 피해자 컴퓨터 스크린샷, 해킹된 사이트를 관리하는 소스 코드 등 내부 파일을 노출하는 실수를 했다고 밝혔다. 디크립트는 7월 24일 기준 6000개가 넘는 고유 IP 주소가 침해됐고, 이 가운데 미국이 1852개, 러시아와 인도가 각각 630개였다고 전했다.

