Ботнет из сайтов на WordPress атакует другие сайты на WordPress

[NinjaBro]

Только за последний месяц специалисты зафиксировали более 5 млн попыток взлома сайтов.



Злоумышленники, управляющие сетью из более чем 20 тыс. инфицированных сайтов на WordPress, используют их для атак на другие ресурсы под управлением WordPress. По данным компании Defiant, для взлома сайтов операторы ботнета используют перебор по словарю (вид брутфорс-атаки, при котором подбор пароля осуществляется путем перебора всех значений из текстового файла cо всевозможными видами слов и транслитераций). Только за последний месяц специалисты зафиксировали более 5 млн попыток входа на «чистые» сайты.

Благодаря ошибкам, допущенным организаторами кампании в брутфорс-скриптах и при реализации механизмов авторизации для панели администратора, исследователям удалось получить представление об инфраструктуре ботнета. Управление осуществляется с помощью четырех C&C-серверов, передающих инструкции через сеть из более чем 14 тыс. прокси-серверов, арендованных на best-proxies[.]ru, которые затем отправляют информацию скриптам на уже зараженных сайтах. На основе полученного списка целей скрипты формируют перечень паролей и используют их для авторизации в учетной записи администратора на атакуемых сайтах.

Исследователи уже передали собранные данные правоохранительным органам, однако отключить управляющие серверы пока не удалось, поскольку они располагаются на хостинге HostSailor, позиционируемым как «пуленепробиваемый». Сервис известен тем, что не реагирует на подобные запросы, и вероятность содействия его администрации практически нулевая.

Пуленепробиваемый хостинг (bulletproof hosting) — виртуальный хостинг или выделенный сервер, владельцы которого лояльно относятся к содержимому размещенных на нем сайтов и не реагируют на обращения правообладателей и других заинтересованных сторон.

 

[german]

В ветке WordPress 5.0 исправлены семь уязвимостей.

Самая серьезная уязвимость позволяла получить полный контроль над чужим сайтом.

Спустя всего неделю поле выхода первого за последнее время масштабного обновления для WordPress разработчики выпустили патчи для уязвимостей. Самая серьезная из них позволяла получить полный контроль над чужим сайтом.

В четверг, 13 декабря, вышла в свет версия WordPress 5.0.1, в которой было исправлено семь уязвимостей. Как пишет ZDNet, одну из наиболее опасных обнаружили создатели популярного плагина Yoast SEO. По их словам, в некоторых случаях экран активации для новых пользователей индексировался поисковиком Google.

С помощью специального запроса атакующий мог найти экран активации через поисковую систему и получить электронные адреса, а в редких случаях даже автоматически сгенерированные пароли. Если у пользователя, чей адрес оказался в руках у злоумышленника, есть права администратора, или пользователь не сменил пароль по умолчанию, это могло привести к катастрофическим последствиям.

В WordPress 5.0.1 также появился механизм проверки MIME для загружаемых файлов. В предыдущих версиях загружаемые файлы не проходили проверку MIME, поэтому файлы можно было загружать, даже если их контент не соответствовал расширению. То есть, злоумышленник спокойно мог загрузить двоичный файл с расширением .jpeg.

Еще одна уязвимость позволяла пользователям сайтов на базе WordPress редактировать новые комментарии пользователей с более высокими привилегиями. При определенных условиях это позволяло осуществить межсайтовый скриптинг.