Une attaque qui retourne les sites légitimes contre leurs visiteurs
Près de 2 000 sites WordPress légitimes auraient été compromis dans le cadre d'une campagne malveillante baptisée StopAndProtect. Ces sites, a priori fiables aux yeux des visiteurs, servent de vecteur pour distribuer un logiciel malveillant conçu pour voler des cryptomonnaies, des mots de passe et des identifiants.
Le choix de WordPress comme terrain d'opération n'est pas anodin. Ces sites bénéficient d'une réputation établie auprès de leurs visiteurs habituels : un blog, un site d'information ou une boutique en ligne que l'on fréquente régulièrement n'éveille pas les mêmes soupçons qu'une page inconnue. C'est précisément cette confiance préexistante que les attaquants exploitent. En compromettant des plateformes déjà visitées et considérées comme sûres, la campagne StopAndProtect contourne le premier réflexe de méfiance que tout internaute devrait avoir face à une source inconnue.
Le mécanisme repose sur de faux CAPTCHA. L'utilisateur est invité à valider une vérification d'identité classique, mais la procédure l'amène en réalité à copier-coller et exécuter lui-même une commande sur son propre ordinateur. C'est précisément là que réside la dangerosité du procédé : la machine n'est pas infectée à distance par une faille technique, elle l'est par l'action volontaire, mais trompée, de son propriétaire.
Cette approche est particulièrement redoutable parce qu'elle déplace la responsabilité technique de l'attaquant vers la victime. Aucune vulnérabilité logicielle n'est exploitée, aucun fichier malveillant n'est téléchargé en arrière-plan sans interaction. C'est l'utilisateur lui-même qui tape ou colle la commande et l'exécute, convaincu de simplement prouver qu'il n'est pas un robot. Les solutions de sécurité traditionnelles, conçues pour détecter des intrusions automatisées, sont ainsi beaucoup moins susceptibles d'intercepter ce type d'action.
Ce que le malware cherche une fois installé
Une fois exécuté, le programme fouille la machine infectée à la recherche de fichiers associés aux wallets crypto, de mots de passe stockés et d'identifiants de connexion. Plus de 6 000 adresses IP auraient déjà été touchées par cette opération.
L'étendue de la collecte visée illustre la polyvalence de ce logiciel malveillant. Il ne se limite pas aux actifs numériques : en ciblant simultanément les wallets crypto, les mots de passe et les identifiants de connexion, il offre aux attaquants un accès potentiel à un large spectre de ressources, des comptes bancaires aux services en ligne en passant par les portefeuilles numériques. Pour les détenteurs de cryptomonnaies, le risque est particulièrement immédiat : un wallet dont la phrase de récupération est stockée dans un fichier texte ou un gestionnaire de mots de passe local peut être vidé en quelques secondes après une infection.
La règle à retenir est absolue : aucun site légitime ne demande d'exécuter une commande dans un terminal ou dans la fenêtre "Exécuter" de Windows pour valider un CAPTCHA. Toute page qui formule cette demande, quelle que soit son apparence, quelle que soit la confiance que l'on accorde habituellement au site en question, est un piège. Fermer l'onglet immédiatement est la seule réponse adaptée. Inutile de chercher à comprendre la nature exacte de la commande proposée ou à évaluer si elle semble dangereuse : le simple fait qu'un CAPTCHA exige une telle manipulation suffit à identifier la tentative de fraude.
Les détenteurs de cryptomonnaies sont des cibles prioritaires pour ce type de campagne. Stocker ses clés hors ligne, sur un hardware wallet, reste la protection la plus solide contre ce vecteur d'attaque. Aucune commande exécutée sur un ordinateur connecté ne peut compromettre des clés qui n'y ont jamais transité.
