Le ultime indagini hanno fatto luce su una collaborazione inquietante tra gruppi di hacker attivi su WordPress e aziende adtech, con l’obiettivo di costruire un'infrastruttura globale dedicata alla diffusione di malware.

Secondo il team di ricerca di Infoblox Threat Intel, al centro dell’operazione si trova VexTrio, un sistema di distribuzione del traffico (TDS) che reindirizza gli utenti del web attraverso una fitta rete di pubblicità fasulle, redirect ingannevoli e notifiche push fraudolente.

Il report cita aziende come Los Pollos, Partners House e RichAds, implicate nel sistema sia come intermediari sia come facilitatori, contribuendo attivamente all’espansione della minaccia.

Il caso Los Pollos e il TDS “Help”: così l’adtech ha alimentato la diffusione globale di malware

Il collegamento tra Los Pollos e il network VexTrio è emerso già durante le indagini sulle campagne di disinformazione legate alla Russia. In seguito a tali rivelazioni, Los Pollos annunciò l’interruzione del suo modello di monetizzazione tramite push link. Ma l’attività malevola non si è fermata: gli attori coinvolti hanno semplicemente cambiato approccio, adottando un nuovo sistema TDS denominato Help, che si è poi rivelato anch’esso parte del circuito VexTrio.

Le vulnerabilità nei siti WordPress sono diventate la porta d’ingresso per campagne malware su vasta scala: migliaia di portali sono stati compromessi, con script di reindirizzamento malevoli che utilizzano i record DNS TXT come meccanismo di command and control, per decidere in tempo reale dove inviare gli utenti.

Secondo l’analisi di oltre 4,5 milioni di risposte DNS raccolte tra agosto e dicembre 2024, vari ceppi malware apparentemente distinti condividevano hosting, infrastruttura e comportamenti. Tutto riconduceva a VexTrio o ai suoi proxy, come Help TDS e Disposable TDS. Gli script JavaScript usati avevano sempre lo stesso schema: disattivazione dei controlli di navigazione del browser, redirect forzati, finti concorsi a premi.

Particolarmente inquietante è il fatto che questi strumenti siano integrati direttamente in piattaforme adtech commerciali, mascherate da normali reti affiliate. Secondo Infoblox, “queste aziende mantenevano rapporti esclusivi con gli affiliati publisher, cioè gli hacker stessi, e ne conoscevano l’identità”.

Uno dei vettori più efficaci si è rivelato essere quello delle notifiche push. Gli utenti vengono convinti ad abilitare le notifiche tramite finti CAPTCHA, per poi ricevere link di phishing o malware, capaci di eludere firewall e antivirus. Alcuni messaggi passano addirittura da servizi affidabili come Google Firebase, rendendo quasi impossibile il rilevamento.

La sovrapposizione tra BroPush, RichAds, Partners House e altre piattaforme adtech, insieme a DNS mal configurati e script riciclati, suggerisce un’infrastruttura comune o condivisa, forse persino uno stesso ambiente di sviluppo.

Cosa possono fare gli utenti e gli amministratori di siti web?
– Evitare notifiche sospette e CAPTCHA dubbi
– Usare strumenti con accesso ZTNA (Zero Trust Network Access)
– Aggiornare WordPress e monitorare eventuali anomalie DNS

Il vero nodo, però, potrebbe essere proprio nelle mani delle aziende adtech, che, se lo volessero davvero, potrebbero disattivare l’intera rete con un solo intervento.

Un'importante falla di sicurezza nel plugin TI WooCommerce Wishlist sta mettendo in pericolo centinaia di migliaia di siti WordPress. Secondo i ricercatori di Patchstack, la vulnerabilità consentiva il caricamento arbitrario di file sul server, senza alcuna autenticazione.

Tracciata come CVE-2025-47577, la falla ha ottenuto un punteggio di 10 su 10 in gravità, permettendo potenzialmente la completa compromissione del sito web. Il rischio è concreto: un attore malintenzionato potrebbe caricare file malevoli e ottenere accesso al server sottostante.

Grave falla in plugin WooCommerce

Il plugin TI WooCommerce Wishlist, utilizzato da oltre 100.000 siti attivi, permette agli utenti di creare e condividere liste dei desideri nei negozi WooCommerce. Tuttavia, una vulnerabilità critica (CVE-2025-47577) rilevata dagli esperti di Patchstack consente il caricamento arbitrario di file senza autenticazione, potenzialmente portando al controllo completo del sito.

A peggiorare la situazione, questi sono siti e-commerce, il che aumenta il rischio per gli utenti che vi effettuano acquisti. La falla riguarda la versione 2.9.2 del plugin, non ancora corretta al momento della segnalazione. Gli utenti sono invitati a disattivare e rimuovere temporaneamente il plugin in attesa della patch.

C'è però una nota positiva: l’exploit è possibile solo se è installato anche il plugin gratuito WC Fields Factory con l’integrazione attiva. Questo plugin consente di aggiungere campi personalizzati alle pagine prodotto e al checkout, influenzando anche prezzi dinamici e visibilità dei contenuti.

I ricercatori di sicurezza hanno individuato un nuovo malware per WordPress che si maschera da soluzione antimalware. A fine aprile, Marko Wotschka del team Wordfence ha pubblicato un post sul blog in cui descrive un malware “interessante” che si presenta nel file system come un normale plugin WordPress, spesso con il nome ‘WP-antymalwary-bot.php’.

Sebbene inizialmente sembri innocuo, l’analisi ha rivelato che questo plugin contiene diverse funzioni dannose: consente agli attaccanti di mantenere l’accesso al sito compromesso, nasconde la propria presenza dalla dashboard di WordPress e permette l’esecuzione remota di codice.

Il malware include anche una funzionalità di “ping” per comunicare con un server di comando e controllo (C&C), oltre a codice progettato per diffondere il malware in altre directory e iniettare JavaScript malevolo con lo scopo di servire annunci pubblicitari indesiderati.

Account di hosting compromessi

Wordfence ha scoperto per la prima volta il plugin malevolo durante un intervento di pulizia su un sito WordPress nel gennaio 2025, quando ha identificato un file ‘wp-cron.php’ modificato.

Questo file aveva il compito di creare e attivare automaticamente il malware, che è stato individuato anche sotto altri nomi, tra cui “addons.php”, “wpconsole.php”, “wp-performance-booster.php” e “scr.php”.

Anche se un amministratore del sito dovesse cancellare il plugin, il file wp-cron è programmato per ricrearlo e riattivarlo automaticamente.

Wordfence non è riuscita a identificare i responsabili dell’attacco né a chiarire come siano riusciti a compromettere i siti. L’assenza di log utili ha portato i ricercatori a ipotizzare che l’infezione sia avvenuta tramite un account hosting compromesso o credenziali FTP violate. È stato possibile solo stabilire che il server di comando e controllo si trova a Cipro e che un attacco simile era già stato osservato nel giugno 2024.

Un altro aspetto interessante del malware è l’apparente utilizzo di intelligenza artificiale generativa nella scrittura del codice. Non è tanto l’uso dell’IA in sé a colpire, quanto il fatto che essa consenta ai cybercriminali di produrre malware dall’aspetto molto più credibile.

Via BleepingComputer

La nuova variante del malware ClearFake (o ClickFix) sta già creando preoccupazioni significative nel mondo di WordPress. I ricercatori di GoDaddy hanno rilevato che questa campagna sfrutta credenziali rubate o acquistate per accedere agli account di amministrazione dei siti. 

Una volta entrati, gli attaccanti installano un plugin che sembra innocuo, ma che in realtà è malevolo. Gli utenti vengono quindi ingannati a scaricare un aggiornamento, che si rivela essere un malware progettato per rubare dati sensibili o eseguire altre attività dannose. È fondamentale che i gestori di siti WordPress siano vigili, utilizzino password forti e attivino l'autenticazione a due fattori per proteggere i propri account.

Migliaia di siti web compromessi

Di recente, una nuova variante del malware ClearFake (noto anche come ClickFix) è stata individuata in natura, compromettendo migliaia di siti web WordPress. Secondo i ricercatori di GoDaddy, questa campagna si basa sull'installazione di plugin dannosi nei siti web. Gli attaccanti utilizzano credenziali rubate per accedere agli account di amministrazione di WordPress e installare plugin apparentemente innocui.

Questi plugin, progettati per sembrare legittimi, contengono script dannosi che inviano false richieste di aggiornamento del browser agli utenti. Tra i plugin identificati finora, troviamo:

LiteSpeed Cache Classic
MonsterInsights Classic
Wordfence Security Classic
Search Rank Enhancer
SEO Booster Pro
Google SEO Enhancer
Rank Booster Pro
Admin Bar Customizer
Advanced User Manager
Advanced Widget Manage
Content Blocker
Universal Popup Plugin

Queste applicazioni, che portano nomi noti nel mondo di WordPress, riescono a ingannare gli amministratori, facendo sembrare innocui gli aggiornamenti. È fondamentale rimanere vigili e monitorare l’uso di questi plugin per prevenire attacchi informatici.

Il CMS più popolare al mondo continua a crescere: W3Techs ha svelato che il 40% dei siti web (2 su 5) oggi si basa su WordPress.

Sebbene esistano varie alternative, inclusi Shopify e Squarespace, WordPress continua a fare storia a se. 

Il motivo sta nel fatto che i siti costruiti con WordPress possono beneficiare di un intero ecosistema creato intorno al CMS, con oltre 58.000 plug-in e più di 8.000 temi. 

• I migliori web hosting del 2021
• I migliori servizi di web hosting Linux del 2021
• Hosting in cloud vs hosting condiviso: qual è la differenza?

Inoltre, esistono molte aziende che basano la propria attività sulla creazione di siti WordPress o sul fornire assistenza agli utenti a tal scopo. Queste includono fornitori di hosting gestito e non gestito, come Bluehost, Dreamhost e la stessa società che ha creato WordPress, Automattic. Il nome di spicco, però è sempre WP Engine, che deve la sua notorietà alla sua grande esperienza con il CMS.

• Come farsi un sito web da soli (anche gratis)

Una quota di mercato sempre più grande

Per elaborare le ultime statistiche sull'utilizzo di WordPress, W3Techs ha utilizzato i dati provenienti dalla classifica di Alexa dei 10 milioni di siti web più popolari, insieme alla lista di Tranco (limitata a un milione di unità), per evitare di conteggiare i domini inattivi o non assegnati a siti web, i siti di spam e quelli poveri di contenuti.

Secondo i dati, WordPress è cresciuta da 10 a 40 milioni di siti in un arco temporale che va dal 2011 a oggi. Inoltre, controlla il 64,3% del mercato CMS.

Dei siti che utilizzano la piattaforma, il dominio di livello superiore .blog detiene la quota di mercato maggiore, pari al 92,2%, seguita dal dominio .news all'87,1%. Il dominio di livello superiore .mil, invece, presenta il tasso di utilizzo più basso, dal momento che in ambito militare viene preferita la piattaforma DotNetNuke.

Relativamente ai Paesi con l'utilizzo più elevato di WordPress, al primo posto troviamo il Sudafrica, seguito da Iran, Israele e Spagna. Invece Cina, Corea del Sud e Russia sono i Paesi in cui la piattaforma viene utilizzata di meno.

Una delle principali leve della recente crescita di WordPress, probabilmente, è il fatto che molti consumatori e aziende hanno creato nuovi siti durante la pandemia.

• Hosting condiviso e hosting VPS: quale scegliere?

Fonte: W3Techs