Check Point revela operação de cibercrime com CAPTCHAs falsos que usou milhares de sites WordPress para atingir 5 mil computadores
Campanha global usou falsos CAPTCHAs para induzir usuários a executar comandos e explorou quase 2 mil sites WordPress comprometidos
Os pesquisadores da Check Point Research (CPR), divisão de inteligência em ameaças Check Point Software, identificaram uma operação de cibercrime que utilizava milhares de sites WordPress comprometidos para distribuir malware e atingir computadores em todo o mundo. A investigação revelou registros de vítimas, capturas de tela, arquivos roubados, códigos-fonte e ferramentas internas dos cibercriminosos, além de evidências de uma campanha que afetou mais de 5 mil computadores.
Os pesquisadores também encontraram arquivos relacionados a quase 2 mil domínios WordPress comprometidos. O material permitiu identificar parte da estrutura usada pelos cibercriminosos para distribuir malware, monitorar dispositivos infectados, roubar informações e realizar ataques de ransomware.
Segundo Eli Smadja, líder de pesquisas da Check Point Research, a operação mostra como sites WordPress vulneráveis podem ser transformados em uma infraestrutura distribuída de CAPTCHAs falsos para atividades criminosas.
“Essa operação de cibercrime, chamada StopAndProtect, evidencia como os atacantes podem transformar milhares de sites WordPress mal administrados em uma infraestrutura criminosa distribuída para distribuição de malware, vigilância, roubo de dados e ransomware. O que torna esta pesquisa especialmente relevante é a visibilidade que obtivemos da operação a partir das próprias falhas de segurança dos cibercriminosos, incluindo registros de vítimas, capturas de tela, arquivos roubados e ferramentas internas. Os consumidores e usuários finais devem ter cuidado com CAPTCHAs inesperados que orientam a copiar, colar ou executar comandos, manter dispositivos e softwares de segurança atualizados e sair imediatamente de qualquer site que solicite ações incomuns fora do navegador”, afirma Smadja.
Sites legítimos usados como infraestrutura cibercriminosa via CAPTCHAs falsos
Os arquivos expostos revelaram não apenas os malwares utilizados, mas também como a operação estava estruturada. Em vez de depender exclusivamente de servidores próprios para controlar os dispositivos infectados, os cibercriminosos utilizaram sites WordPress comprometidos como parte da infraestrutura.
Os sites eram empregados em diferentes etapas da campanha, incluindo hospedagem de malware, distribuição de novos arquivos, comunicação com computadores infectados e armazenamento de documentos roubados, capturas de tela e registros de atividades. Ao utilizar sites legítimos, os atacantes conseguiam incorporar a operação ao tráfego normal da internet e dificultar sua identificação.
A investigação também evidencia o risco associado a sites WordPress sem atualizações. Em um dos casos analisados, a equipe da CPR identificou um site comprometido que utilizava uma versão do WordPress lançada em 2021 e apresentava quase 40 vulnerabilidades conhecidas, demonstrando como sites sem manutenção podem acabar incorporados a operações criminosas de maior escala.
Os próprios cibercriminosos deixaram rastros
A operação que buscava reduzir sua exposição acabou revelando parte de sua própria estrutura. Durante a investigação, os pesquisadores da Check Point encontraram diretórios acessíveis publicamente com registros de malware, capturas de tela de vítimas, arquivos roubados e ferramentas utilizadas para administrar a campanha.
Também foram recuperados códigos-fonte de ferramentas de automação usadas para administrar sites WordPress comprometidos em escala, além de arquivos relacionados a quase 2 mil domínios associados à operação.
Os pesquisadores suspeitam ainda que um dos operadores possa ter infectado acidentalmente o próprio computador. Como consequência, arquivos internos de desenvolvimento teriam sido enviados para a mesma infraestrutura utilizada para armazenar dados roubados das vítimas. O material foi removido alguns dias depois, mas sua exposição temporária permitiu identificar detalhes sobre a organização e o funcionamento da campanha.
Falsos CAPTCHAs induzem vítimas a executar comandos
A campanha começa com uma técnica de engenharia social conhecida como ClickFix. A vítima encontra um CAPTCHA falso que a orienta a copiar, colar e executar comandos no próprio computador. Ao seguir as instruções, o usuário inicia sem perceber uma cadeia de infecção que baixa novos malwares a partir de sites WordPress comprometidos.
A estratégia combina engenharia social, infraestrutura de sites legítimos e malwares modulares para ampliar o alcance dos ataques e dificultar sua detecção. Dependendo do objetivo dos cibercriminosos, a mesma estrutura pode ser usada para roubar documentos, coletar credenciais, extrair informações sensíveis ou instalar ransomware.
Medidas de proteção
Os especialistas da Check Point Research recomendam que organizações mantenham instalações e plugins do WordPress atualizados, orientem funcionários a reconhecer abordagens de engenharia social baseadas em ClickFix, monitorem atividades suspeitas do PowerShell e adotem mecanismos de prevenção capazes de interromper ataques antes que o malware consiga se estabelecer no ambiente ou que dados sejam roubados.
Para os usuários, a principal recomendação é não seguir instruções de sites que peçam para copiar, colar ou executar comandos fora do navegador. CAPTCHAs legítimos não exigem esse tipo de procedimento.
A pesquisa completa sobre a campanha cibercriminosa StopAndProtect apresenta detalhes referente a cadeia de infecção, os componentes dos malwares, os indicadores de comprometimento e as proteções disponíveis contra as ameaças analisadas:
Para consumidores e usuários finais
Não seguir instruções de CAPTCHAs falsos que peçam para copiar, colar ou executar comandos no computador. Esse é o ponto central da técnica ClickFix identificada pela equipe da CPR.
Desconfiar de solicitações de “verificação humana” que envolvam a execução de comandos, especialmente PowerShell. Os CAPTCHAs falsos da campanha copiam automaticamente um comando para a área de transferência e induz a vítima a executá-lo.
Não executar comandos recebidos por uma página da internet quando a ação não fizer parte do procedimento normal esperado pelo usuário.
Sair da página quando uma suposta verificação exigir procedimentos fora do fluxo normal do navegador.Para empresas e administradores de sites
Manter o WordPress e os plugins atualizados, evitando versões antigas que possam conter vulnerabilidades conhecidas. A CPR encontrou um site comprometido que utilizava uma versão do WordPress de 2021 e apresentava quase 40 vulnerabilidades.
Monitorar instalações e plugins em busca de alterações ou arquivos não autorizados, especialmente componentes desconhecidos inseridos no ambiente WordPress.
Verificar diretórios e arquivos expostos publicamente, já que a operação foi descoberta, em parte, porque um script PHP permitia a listagem de diretórios e expunha arquivos e registros.
Investigar alterações suspeitas em plugins e arquivos do WordPress, incluindo componentes que possam criar mecanismos ocultos de upload ou execução de arquivos.
Monitorar atividades de PowerShell, considerando que a cadeia de infecção começa com um falso CAPTCHA ClickFix que leva a vítima a executar um comando PowerShell.
Monitorar sinais de comprometimento nos endpoints, incluindo comportamento associado a roubo de arquivos, captura de telas, criptografia de dados e movimentação por dispositivos USB ou compartilhamentos de rede.
Utilizar soluções de segurança capazes de detectar e bloquear esse tipo de ataque, como Check Point Threat Emulation e Check Point Harmony Endpoint.Siga Check Point Em LinkedIn, X (formerly Twitter), Facebook, YouTube e blog.
Sobre a Check Point Software Technologies Ltd.
A Check Point Software Technologies Ltd é líder global global em cibersegurança, protegendo mais de 100.000 organizações em todo o mundo. Sua missão é proteger a transformação de IA das empresas. Com uma abordagem de prevenção em primeiro lugar e uma arquitetura de ecossistema aberto, a Check Point apoia as organizações a bloquear ameaças avançadas, priorizar exposições e automatizar operações de segurança em ambientes digitais complexos.
A arquitetura unificada simplifica a proteção em redes híbridas, ambientes de múltiplas nuvens, ambientes de trabalho digitais e sistemas de IA. Estruturada em torno de quatro pilares estratégicos, Hybrid Mesh Network Security, Workspace Security, Exposure Management e AI Security, a Check Point oferece proteção e visibilidade consistentes em ambientes de múltiplos fornecedores, permitindo que as organizações reduzam riscos, melhorem a eficiência e acelerem a inovação sem aumentar a complexidade.
©2026 Check Point Software Technologies Ltd. Todos os direitos reservados.
Aviso legal sobre declarações prospectivas
Este comunicado de imprensa contém declarações prospectivas. Declarações prospectivas geralmente se referem a eventos futuros ou ao nosso desempenho financeiro ou operacional futuro. As declarações prospectivas neste comunicado incluem, mas não se limitam, às expectativas relacionadas aos nossos produtos e soluções, ao cenário de cibersegurança, à adoção de IA e ao aumento da demanda por nossos produtos e soluções, às novas nomeações de executivos e à nossa participação em conferências com investidores e outros eventos durante o segundo trimestre de 2026.
Nossas expectativas e crenças em relação a esses temas podem não se concretizar, e os resultados ou eventos reais futuros estão sujeitos a riscos e incertezas que podem fazer com que os resultados ou eventos reais sejam materialmente diferentes daqueles projetados.
Esses riscos incluem nossa capacidade de continuar desenvolvendo recursos e soluções de plataforma; a aceitação e aquisição, pelos clientes, de nossas soluções existentes e novas soluções; a continuidade do desenvolvimento do mercado de segurança de TI; desafios relacionados ao desenvolvimento e à implementação de IA; concorrência de outros produtos e serviços; nomeações e desligamentos de executivos; além de condições gerais de mercado, políticas, econômicas e de negócios, incluindo atos de terrorismo ou guerra.
As declarações prospectivas contidas neste comunicado também estão sujeitas a outros riscos e incertezas, incluindo aqueles descritos de forma mais detalhada em nossos arquivos junto à Comissão de Valores Mobiliários dos Estados Unidos (SEC), incluindo nosso Relatório Anual no Formulário 20-F arquivado na SEC em 31 de março de 2026. As declarações prospectivas neste comunicado são baseadas nas informações disponíveis para a Check Point na data deste documento, e a Check Point isenta-se de qualquer obrigação de atualizar quaisquer declarações prospectivas, exceto conforme exigido por lei.