Взломщики массово эксплойтят XSS в плагинах WordPress и внедряют бэкдоры

Взломщики массово эксплойтят XSS в плагинах WordPress и внедряют бэкдоры

Взломщики массово эксплойтят XSS в плагинах WordPress и внедряют бэкдоры

Выявлена новая киберкампания, нацеленная на взлом сайтов WordPress. Злоумышленники используют XSS-уязвимости в трех популярных плагинах CMS для создания новых админ-аккаунтов, внедрения бэкдоров и трекинг-скриптов.

В Fastly отслеживают текущие атаки с середины апреля. Значительная часть попыток эксплойта исходит с голландских IP-адресов, ассоциируемых с AS202425 (IP Volume Inc.) и AS210848 (Telkom Internet LTD); оба провайдера базируются на Сейшелах.

Используемые хранимые XSS примечательны тем, что их эксплойт не требует аутентификации:

Перечисленные WordPress-плагины суммарно насчитывают более 5,62 млн установок. До пропатченной версии, по данным экспертов, обновлены меньше половины.

В результате отработки эксплойта в страницы внедряется тег script, указывающий на внешний файл с обфусцированным JavaScript-кодом.

Вредонос создает новый аккаунт администратора, внедряет PHP-бэкдоры в файлы тем и плагинов и запускает трекинг — отправляет на удаленный сервер запрос HTTP GET с информацией о хосте. По всей видимости, это позволяет взломщикам мониторить заражение сайтов.

Злоумышленники атакую репетиторов для угона их учетных записей

Злоумышленники начали записываться на онлайн-занятия к репетиторам и во время уроков под разными предлогами вынуждают преподавателей переходить по фишинговым ссылкам. Основная цель таких атак — захват учётных записей в различных онлайн-сервисах.

Как сообщает РИА Новости со ссылкой на источники, во время занятия мошенники жалуются на якобы возникшие проблемы со связью и присылают «альтернативную» ссылку.

На самом деле она ведёт на фишинговую страницу, визуально полностью повторяющую интерфейс аутентификации Zoom или другого сервиса видеосвязи. Все данные, введённые на такой странице, сразу попадают к злоумышленникам.

В некоторых случаях поддельные сайты дополнительно предлагают войти через уже существующие аккаунты популярных платформ. При использовании такого варианта аутентификации учётные данные от этих сервисов также оказываются в распоряжении киберпреступников.

В 2024–2025 годах злоумышленники особенно активно «угоняли» учётные записи портала Госуслуг и мессенджера Telegram. По итогам 2024 года количество успешных атак на пользователей Telegram выросло в 50 раз.

Согласно статистике МВД за тот же период, взломы аккаунтов Госуслуг составили около 90% всех зарегистрированных киберпреступлений. По данным на середину 2025 года рост угонов учётных записей Telegram составил около 50%.

RSS: Новости на портале Anti-Malware.ru