Киберпреступники атакуют сайты на WordPress с помощью нового Linux-бэкдора. Для проникновения и заражения ранее неизвестный вредонос эксплуатирует уязвимости более чем в двадцати плагинах и темах.
Об атаках и бэкдоре рассказали специалисты компании «Доктор Веб». В выложенном на днях отчёте исследователи описывают вредоносную кампанию:
«Если администраторы атакуемого сайта используют устаревшие версии аддонов, злоумышленники внедряют в веб-страницы JavaScripts-код через соответствующие бреши. Так у них появляется возможность перенаправлять пользователей на другие ресурсы».
Как выяснили эксперты, атакующие задействуют эксплойты для 19 известных уязвимостей в плагинах и темах. Если они установлены на целевом сайте, киберпреступники разворачивают вредонос, который помогает им развить атаку.
JavaScript-код для встраивания в страницы бэкдор получает с удалённого сервера. Основная задача скрипта — перенаправлять посетителей на другие ресурсы.
В ходе исследования специалисты «Доктор Веб» наткнулись на вторую версию бэкдора, использующего уже новый домен командного центра (C2) и дополнительные 11 уязвимых плагинов. Таким образом, под прицелом зловреда в общей сложности 30 дырявых компонентов.
Полный список атакуемых плагинов выглядит так:
- WP Live Chat Support
- Yuzo Related Posts
- Yellow Pencil Visual CSS Style Editor
- Easy WP SMTP
- WP GDPR Compliance
- Newspaper (CVE-2016-10972)
- Thim Core
- Smart Google Code Inserter (discontinued as of January 28, 2022)
- Total Donations
- Post Custom Templates Lite
- WP Quick Booking Manager
- Live Chat with Messenger Customer Chat by Zotabox
- Blog Designer
- WordPress Ultimate FAQ (CVE-2019-17232 и CVE-2019-17233)
- WP-Matomo Integration (WP-Piwik)
- ND Shortcodes
- WP Live Chat
- Coming Soon Page and Maintenance Mode
- Hybrid
- Brizy
- FV Flowplayer Video Player
- WooCommerce
- Coming Soon Page & Maintenance Mode
- Onetone
- Simple Fields
- Delucks SEO
- Poll, Survey, Form & Quiz Maker by OpinionStage
- Social Metrics Tracker
- WPeMatico RSS Feed Fetcher, and
- Rich Reviews
Оба варианта бэкдора могут брутфорсить учётные данные администратора WordPress-сайта. Специалисты просят владельцев веб-ресурсов поддерживать плагины и темы в актуальном состоянии.
