Киберпреступники атаковали 1 млн сайтов под управлением WordPress

Специалисты компании Wordfence предупредили о новой масштабной вредоносной кампании, нацеленной на сайты под управлением WordPress. Только за последние семь дней злоумышленники попытались взломать порядка 1 млн сайтов.

Кампания началась 28 апреля 2020 года, и уже через несколько дней объем фиксируемого Wordfence вредоносного трафика превысил обычные показатели в 30 раз. Судя по полезной нагрузке, которую злоумышленники пытаются внедрить на атакуемые сайты, за большинством атак стоит одна и та же киберпреступная группировка. Полезная нагрузка представляет собой вредоносный JavaScript-код, переадресовывающий пользователей на вредоносные ресурсы и пользующийся сеансом администратора для внедрения бэкдора в header темы.

Кроме того, злоумышленники эксплуатируют давно известные уязвимости, позволяющие менять домашний URL-адрес сайта на тот же домен, что используется в полезной нагрузке XSS для переадресации посетителей на сайты с вредоносной рекламой. Наиболее популярными уязвимости являются: межсайтовый скриптинг в плагине Easy2Map, Blog Designer (обе исправлены в 2019 году) и теме Newspaper (исправлена в 2016 году), а также обновление опций в WP GDPR Compliance (исправлена в 2018 году) и Total Donations (исправлена в 2019 году).

По данным Wordfence, в прошлом эта группировка осуществляла куда менее масштабные кибератаки, но в последнее время она существенно усилила активность – только за один день 3 мая специалисты зафиксировали более 20 млн попыток взлома свыше полумиллиона сайтов. За месяц было выявлено более 24 тыс. IP-адресов, отправляющих запросы, совпадающие с атаками на 900 тыс. сайтов.