Europol ha annunciato nuovi risultati dell’operazione Endgame, con un intervento mirato contro l’infrastruttura criminale dietro il malware SocGholish. L’azione ha portato al sequestro di 106 domini e server e alla bonifica di 14.971 siti WordPress compromessi.
Il dato più pesante riguarda però la scala dell’attacco: nell’arco di tre anni il gruppo avrebbe violato oltre 1,44 milioni di siti WordPress, distribuendo codice malevolo e contenuti di phishing in 187 Paesi e territori.
L’operazione contro SocGholish mostra quanto può essere estesa una compromissione WordPress
L’azione coordinata ha colpito una rete usata per diffondere il trojan SocGholish attraverso siti WordPress compromessi. Oltre alla rimozione dei contenuti malevoli da quasi 15 mila siti, il quadro tecnico pubblicato dagli operatori coinvolti mostra una campagna di compromissione di massa costruita per durare nel tempo e colpire su scala globale.
Tra il 17 maggio 2023 e il 25 maggio 2026, gli attaccanti avrebbero compromesso più di 1.440.000 siti WordPress. L’infrastruttura coinvolta tocca 1.550 ASN, 1.134.542 domini e 271.176 indirizzi IP, numeri che aiutano a capire perché questo malware sia rimasto così pervasivo e difficile da contenere.
- Sequestrati 106 domini e server usati dall’infrastruttura criminale.
- Bonificati 14.971 siti WordPress con codice malevolo già iniettato.
- Campagna attiva in 187 Paesi e territori.
- Oltre 1,44 milioni di siti compromessi nell’arco di tre anni.
Password spraying, brute force e domain shadowing sono stati al centro della campagna
Gli attaccanti avrebbero combinato più tecniche per automatizzare gli accessi e aumentare la probabilità di successo: password spraying, attacchi brute force, uso di credenziali esposte e sfruttamento di vulnerabilità. Una volta ottenuto l’accesso, inserivano codice malevolo e file di phishing nei siti compromessi, trasformandoli in canali di distribuzione del trojan.
Un elemento particolarmente rilevante è l’uso del domain shadowing, una tecnica meno visibile rispetto ai classici domini usa e getta. In pratica gli aggressori compromettono registrar o pannelli di gestione dei domini e creano sotto-domini malevoli all’interno di domini legittimi.
- Uso combinato di password spraying e brute force per colpire grandi volumi di siti.
- Sfruttamento di vulnerabilità e credenziali deboli o riutilizzate.
- Inserimento di codice malevolo e file di phishing nei siti violati.
- Creazione di sotto-domini nascosti su domini legittimi tramite domain shadowing.
