Malware cripto: hackean casi 2.000 sitios WordPress para robar billeteras y sembrar ransomware

Una campaña de malware cripto convirtió cerca de 2.000 sitios web construidos con WordPress en una red criminal para distribuir programas maliciosos, robar archivos de billeteras de criptomonedas y desplegar ransomware. La operación, bautizada StopAndProtect, fue detallada en un análisis técnico que reconstruye cómo los atacantes secuestraron páginas legítimas para servir sus cargas dañinas.

El esquema aprovecha un problema conocido: miles de sitios en WordPress corren versiones desactualizadas del gestor de contenidos o dependen de complementos con fallos de seguridad. Al tomar el control de esas páginas, los operadores las transforman en puntos de reparto de infección sin que sus dueños lo noten, y sin necesidad de montar servidores propios que llamen la atención de las autoridades.

Cómo funciona esta operación de malware cripto

Según el informe que expone la campaña StopAndProtect, los sitios comprometidos actúan como una capa de distribución. Cuando un usuario visita una de esas páginas, se le presenta contenido manipulado que lo empuja a descargar un archivo o a ejecutar un supuesto proceso de verificación o actualización.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

El resultado es la instalación de software malicioso en el equipo de la víctima. A partir de ahí, el objetivo es doble. Por un lado, el programa rastrea el dispositivo en busca de archivos vinculados a billeteras de criptomonedas —las que almacenan las claves privadas que dan acceso a los fondos— para exfiltrarlos. Por otro, la infraestructura puede terminar con el despliegue de ransomware, el tipo de ataque que cifra los datos del equipo y exige un pago para liberarlos.

Esa combinación hace que la campaña sea especialmente peligrosa para quienes custodian criptoactivos de forma directa. Un archivo de billetera robado, si no está protegido por una contraseña robusta, puede abrir la puerta al vaciado inmediato de los saldos, sin que exista un intermediario capaz de revertir la transacción.

Por qué WordPress es un blanco recurrente

WordPress sostiene una porción enorme de la web mundial, lo que lo convierte en un objetivo natural para los atacantes. La superficie de riesgo no suele estar en el núcleo del sistema, sino en el enorme catálogo de plugins y plantillas de terceros, donde una vulnerabilidad sin parchear basta para que un actor malicioso inyecte código.

Una vez dentro, los delincuentes prefieren mantenerse ocultos. En lugar de defacear la página o dejar rastros visibles, insertan redirecciones y cargas que solo se activan bajo ciertas condiciones, de modo que el administrador del sitio puede pasar semanas sin advertir que su dominio reparte malware a los visitantes.

El uso de sitios legítimos como fachada también complica el bloqueo. Las herramientas de reputación web tardan más en marcar un dominio confiable, y el tráfico hacia páginas conocidas levanta menos sospechas que la conexión a servidores recién creados.

El robo de cripto, un negocio en expansión

La operación se inscribe en una tendencia más amplia: las criptomonedas se han vuelto un botín prioritario para el cibercrimen, precisamente por la dificultad de recuperar los fondos una vez transferidos. Las campañas que buscan vaciar billeteras se multiplican y adoptan formas cada vez más elaboradas, desde el secuestro de webs hasta el fraude masivo por mensajería.

Hace pocas semanas se documentó una estafa cripto por phishing que apuntó a 885.000 teléfonos con el mismo fin de acceder a las billeteras de las víctimas. El patrón se repite: el eslabón más débil no es la cadena de bloques, sino el dispositivo y los hábitos del usuario.

Para reducir la exposición, los especialistas en seguridad insisten en recomendaciones básicas que muchos usuarios pasan por alto:

• Mantener actualizados el sistema operativo, el navegador y —en el caso de quienes administran sitios— WordPress junto con todos sus complementos.
• Desconfiar de descargas o ventanas emergentes que exijan ejecutar archivos o instalar actualizaciones desde una página cualquiera.
• Custodiar las claves privadas en billeteras de hardware o entornos aislados, y no dejar archivos de billetera sin cifrar en el equipo de uso diario.
• Verificar direcciones y firmas antes de aprobar cualquier transacción.

Entender el terreno también ayuda: quien opera con criptoactivos conviene que domine conceptos básicos como el funcionamiento de la tecnología blockchain y por qué las transacciones son irreversibles, ya que esa característica es justamente la que explota este tipo de ataques.

Campañas como StopAndProtect confirman que la seguridad del ecosistema depende tanto de la solidez de los protocolos como de la higiene digital de cada usuario y de cada administrador de sitios web. Mientras existan páginas desactualizadas y descargas ejecutadas sin control, la infraestructura criminal seguirá encontrando dónde alojarse.