Хакеры сканируют 1,6 млн WordPress-сайтов в поисках уязвимого плагина

Хакеры сканируют 1,6 млн WordPress-сайтов в поисках уязвимого плагина

Хакеры сканируют 1,6 млн WordPress-сайтов в поисках уязвимого плагина

Масштабная кампания, в ходе которой злоумышленники сканировали около 1,6 млн WordPress-сайтов, привлекла внимание экспертов. Атакующие ищут уязвимый плагин, позволяющий загружать файлы без аутентификации.

Речь идет о плагине под названием Kaswara Modern WPBakery Page Builder, автор которого забросил свое детище. Проблема в том, что в этом плагине содержится критическая уязвимость под идентификатором CVE-2021-24284.

В случае эксплуатации брешь позволяет неаутентифицированному атакующему внедрить вредоносный JavaScript-код на сайты. Используя любую версию плагина, можно загружать и удалять файлы, что в конечном счете приводит к полной компрометации целевого сайта.

В ходе кампании киберпреступники взяли в оборот 1 599 852 веб-ресурса, лишь малая часть которых использовала уязвимый плагин. Исследователи из Defiant зафиксировали почти полмиллиона попыток атак в день, затрагивающих сайты, находящиеся под защитой компании.

Согласно статистике Wordfence, атаки начались 4 июля и продолжаются по сей день. Сейчас фиксируются 444 868 попыток в сутки.

 

В кампании используются 10 215 IP-адресов, генерирующих миллионы запросов.

 

Атакующие отправляют запрос на “wp-admin/admin-ajax/php” и пытаются использовать AJAX-функцию плагина “uploadFontIcon” для загрузки вредоносного ZIP-архива, содержащего PHP-файл. Последний в свою очередь извлекает NDSW-троян, внедряющий код в безобидные JavaScript-файлы.

Благодаря этому методу злоумышленники могут перенаправлять посетителей на вредоносные и фишинговые сайты. Вот несколько файлов, фигурирующих в атаках: inject.zip, king_zip.zip, null.zip, plugin.zip и ***_young.zip.

Всем администраторам WordPress-сайтов, которые до сих пор используют плагин Kaswara Modern WPBakery Page Builder, рекомендуют немедленно удалить его.

Хакеры парализовали автомобили клиентов охранной системы Delta

Клиенты охранной компании Delta пожаловались на массовые сбои в работе автомобильных систем — по их словам, машины перестали открываться, не заводятся, а сигнализацию невозможно отключить. Причиной, предположительно, стала кибератака.

Как сообщает телеграм-канал Baza, первые обращения от автомобилистов начали поступать утром.

В одних случаях владельцы не могут запустить двигатель, в других — не получается снять автомобиль с охраны или даже открыть двери. Некоторые пользователи утверждают, что для восстановления работоспособности требуется перепрошивка системы у официального дилера.

Одновременно с этим перестали работать сайт Delta и телефоны компании. В разговоре с Baza представители оператора подтвердили факт кибератаки, но подробностей не раскрыли. Кто именно стоит за инцидентом и какие системы были затронуты, пока неизвестно.

Пользователи также опасаются возможной утечки персональных данных, однако на данный момент подтверждений этому нет.

Как убедился «Коммерсантъ», сайт Delta действительно недоступен с 26 января. По данным Baza, атака могла затронуть не только веб-ресурсы компании, но и часть её продуктов, что и привело к блокировке автомобилей у клиентов.

Официальных развернутых комментариев от Delta на момент публикации не поступало. Компания занимается разработкой и обслуживанием охранных систем для коммерческих объектов, частных домов и автомобилей, поэтому масштаб инцидента пока остаётся неясным.

Ситуация продолжает развиваться, и пользователи ожидают объяснений — а главное, быстрого решения проблемы, из-за которой их автомобили фактически оказались обездвижены.

RSS: Новости на портале Anti-Malware.ru