Negli ultimi tempi è stata individuata una campagna di cyber attacchi su larga scala che sfrutta oltre 100 siti WordPress compromessi per diffondere ransomware, info stealer e cryptominer. Questa campagna, identificata con il nome ShadowCaptcha, è attiva da agosto 2025 e rappresenta una minaccia concreta per la sicurezza informatica globale, coinvolgendo siti di vari settori tra cui tecnologia, sanità, finanza e ospitalità in paesi come Italia, Australia, Brasile, Canada, Colombia e Israele.

Meccanismo di attacco

Il meccanismo di attacco parte con l'infezione di siti WordPress tramite codice JavaScript malevolo che reindirizza gli utenti verso pagine CAPTCHA fasulle, spesso camuffate da Cloudflare o Google. Qui entra in gioco la tecnica di social engineering ClickFix, che induce la vittima a seguire istruzioni specifiche per eseguire comandi pericolosi sul proprio sistema. In particolare, viene chiesto di utilizzare la finestra Esegui di Windows o di salvare e aprire un file HTA dannoso tramite mshta.exe.

Attraverso questi passaggi, gli attaccanti riescono a installare info stealer come Lumma e Rhadamanthys, oppure ransomware come Epsilon Red, e in alcuni casi anche cryptominer basati su XMRig. Per aumentare l’efficienza del mining, viene utilizzato anche il caricamento di driver vulnerabili come WinRing0x64.sys, consentendo accesso a livello kernel e ottimizzando il processo di mining.

Tecniche innovative utilizzate

L’innovazione di ShadowCaptcha risiede nella combinazione di social engineering, l’uso di LOLBins (Living-off-the-land Binaries), tecniche anti-debugger e side-loading di DLL malevoli. Questo mix rende l’attacco furtivo e difficile da individuare tramite strumenti di analisi tradizionali.

Compromissione dei siti WordPress e plugin dannosi

Non è ancora chiaro come avvenga la compromissione iniziale dei siti WordPress, ma si ipotizza l’utilizzo di vulnerabilità note nei plugin o l’accesso tramite credenziali amministrative rubate. Parallelamente, la diffusione di plugin dannosi come “woocommerce_inputs” collegati ad altre campagne (come Help TDS) mostra la tendenza dei cybercriminali a fornire strumenti sempre più avanzati per monetizzare siti compromessi attraverso reindirizzamenti, furto credenziali e frodi.

Raccomandazioni per la sicurezza

Per limitare i rischi di ShadowCaptcha, è fondamentale mantenere WordPress aggiornato, utilizzare autenticazione a più fattori e formare gli utenti a riconoscere tentativi di social engineering legati a ClickFix e CAPTCHA sospetti.