Check Point Research descubrió la infraestructura de StopAndProtect, una operación de cibercrimen que comprometió más de 5,000 equipos y utilizó cerca de 2,000 sitios WordPress para distribuir malware, comunicarse con dispositivos infectados y almacenar información robada.
La investigación obtuvo visibilidad sobre la operación después de que los propios atacantes cometieran una serie de errores de seguridad operacional que dejaron expuestos registros de víctimas, capturas de pantalla, código fuente, herramientas internas y documentación utilizada por el grupo.
Uno de los principales hallazgos fue el uso de sitios WordPress comprometidos en lugar de servidores tradicionales de mando y control. Los operadores aprovecharon estas páginas para crear una infraestructura distribuida que pudiera mezclarse con tráfico legítimo de Internet y dificultar su detección.
Los sitios comprometidos cumplían distintas funciones, entre ellas alojar y distribuir malware, entregar cargas maliciosas adicionales, comunicarse con equipos infectados y almacenar documentos robados, capturas de pantalla y registros de actividad.
Según datos citados en la investigación, WordPress representa más de 43% del mercado mundial de gestores de contenidos en 2026, una popularidad que también incrementa su atractivo para los ciberdelincuentes que buscan operar a gran escala.
El análisis también evidenció los riesgos derivados de mantener aplicaciones y complementos sin actualizar. Durante la investigación, Check Point Research identificó un sitio comprometido que todavía ejecutaba una versión de WordPress publicada en 2021 y acumulaba cerca de 40 vulnerabilidades conocidas.
La exposición de StopAndProtect no se produjo por una vulnerabilidad técnica en la infraestructura criminal, sino por errores humanos de sus operadores. Archivos internos dejaron accesibles herramientas administrativas, registros operativos y evidencias relacionadas con las víctimas.
“StopAndProtect demuestra cómo los ciberdelincuentes pueden transformar miles de sitios WordPress mal mantenidos en una infraestructura distribuida para distribuir malware, realizar tareas de vigilancia, robar información y lanzar campañas de ransomware”, señaló Vladimir Larrañaga, jefe de ingeniería y ciberseguridad de Check Point México.
A partir de los hallazgos, la compañía recomienda mantener WordPress y sus plugins actualizados, supervisar modificaciones no autorizadas en los sitios web y desconfiar de CAPTCHAs que soliciten copiar, pegar o ejecutar comandos fuera del navegador.
También aconseja actualizar regularmente dispositivos y soluciones de seguridad e implementar monitoreo continuo para detectar comportamientos anómalos, especialmente en servidores web accesibles desde Internet.
