На WordPress-сайты устанавливают майнер с помощью массовых брутфорс-атак

На WordPress-сайты устанавливают майнер с помощью массовых брутфорс-атак

На WordPress-сайты устанавливают майнер с помощью массовых брутфорс-атак

Сайты по всему миру, работающие на движке WordPress, стали мишенью массовой брутфорс-кампании, в ходе которой хакеры пытались угадать логины учетной записи администратора, чтобы установить майнер Monero на уязвимые сайты.

Атаки начались в понедельник утром и до сих пор не снизили своей активности. По данным экспертов, 190 000 сайтов WordPress атакуются в час.

Wordfence утверждает, что это самая крупная по масштабам брутфорс-атака, с которой сталкивалась компания.

«Это самая агрессивная кампания, которую мы видели на сегодняшний день. В какой-то момент она достигла отметки в 14 миллионов атак в час. Она была настолько серьезной, что нам пришлось расширить нашу инфраструктуру, чтобы справиться с этим объемом», — говорит генеральный директор и основатель Wordfence Марк Маундер.

Wordfence также отмечают, что запросы идут с более чем 10 000 уникальных IP-адресов и нацелены на 190 000 сайтов WordPress в час.

Изначально специалисты предполагали, что эта атака связана с утечкой на Reddit и GitHub более 1,4 миллиарда комбинаций имени и пароля, однако позже стало ясно, что злоумышленники используют «комбинацию общих списков паролей и эвристики на основе имени домена и содержимого сайта, который они атакуют».

После спешного проникновения киберпреступники устанавливают майнер Monero, а также используют зараженный сайт для выполнения дальнейших атак брутфорс. Для каждого сайта выбирается что-то одно — либо майнить криптовалюту, либо атаковать другие сайты.

По оценкам экспертов, злоумышленникам удалось таким образом добыть Monero на сумму более 100 000 долларов.

Буквально вчера мы писали об еще одной проблеме движка WordPress — оказалось, что популярный WordPress-плагин Captcha содержит бэкдор.

Скрытые камеры в отелях теперь можно найти смартфоном за пять секунд

Заселились в отель, увидели подозрительный датчик дыма и теперь думаете, не снимает ли он вас? Ученые придумали штуку специально для таких случаев. И стоит она смешные $7 (чуть больше 607 рублей).

Исследователи из KAIST вместе с коллегами из Сингапура разработали SweepLED — компактный детектор скрытых камер, который цепляется к смартфону и способен обнаружить объектив примерно за пять секунд.

Работает все так: на задней части смартфона размещаются 15 светодиодов, которые по очереди подсвечивают подозрительный объект с разных углов. Камера телефона в это время снимает отражения, а алгоритм анализирует, как они меняются.

В этом и весь фокус. Обычные детекторы тоже ищут блики, но блестеть может что угодно: рамка фотографии, пластик, стекло, металлическая деталь. В итоге пользователь смотрит на десяток светящихся точек и гадает, какая из них — объектив.



SweepLED пытается убрать эту угадайку. Система сравнивает кадры с включенными и выключенными светодиодами, отбрасывает влияние окружающего света и тряску рук, а затем ищет характерное поведение именно линзы. Для проверки смартфон нужно подержать под тремя углами.

И это не просто концепт на бумаге. Разработчики испытали систему на 30 объектах: в 12 были спрятаны камеры, еще 18 были обычными отражающими предметами. При использовании с рук точность составила 93,9%, а при неподвижном смартфоне — 95,1%.

Самое интересное — цена. Для прототипа нужны 15 светодиодов и немного электроники общей стоимостью менее $7.

То есть потенциально вместо покупки отдельного детектора достаточно будет нацепить дешевую приблуду на смартфон и за несколько секунд проверить часы, телевизор, датчик дыма или любой другой подозрительный предмет в гостиничном номере.

Паранойя? Возможно. Но за семь баксов можно и попробовать.

RSS: Новости на портале Anti-Malware.ru