Oltre 1.000 siti WordPress infettati con backdoor JavaScript che consentono l'accesso a un attaccante persistente

Violazione dei dati / Sicurezza del sito web

Oltre 1.000 siti web alimentati da WordPress sono stati infettati da un codice JavaScript di terze parti che inietta quattro backdoor separate.

“La creazione di quattro backdoor facilita agli aggressori la possibilità di avere più punti di rientro nel caso in cui uno di essi venga rilevato e rimosso”, ha dichiarato Himanshu Anand, ricercatore di c/side, in un'analisi di mercoledì.

È stato rilevato che il codice JavaScript dannoso viene servito tramite cdn.csyndication[.]com. Al momento, ben 908 siti web contengono riferimenti al dominio in questione.

Le funzioni delle quattro backdoor sono spiegate di seguito:

Backdoor 1: che carica e installa un falso plugin chiamato “Ultra SEO Processor”, che viene poi utilizzato per eseguire i comandi inviati dall'aggressore.

Backdoor 2: che inietta JavaScript dannoso in wp-config.php

Backdoor 3: che aggiunge una chiave SSH controllata dall'aggressore al file ~/.ssh/authorized_keys in modo da consentire l'accesso remoto persistente alla macchina

Backdoor 4: che è progettata per eseguire comandi remoti e recupera un altro payload da gsocket[.]io per aprire probabilmente una reverse shell.

Per mitigare il rischio posto dagli attacchi, si consiglia agli utenti di eliminare le chiavi SSH non autorizzate, di ruotare le credenziali di amministrazione di WordPress e di monitorare i registri di sistema alla ricerca di attività sospette.

Lo sviluppo arriva mentre la società di cybersicurezza ha dettagliato che un'altra campagna di malware ha compromesso più di 35.000 siti web con JavaScript dannoso che “dirotta completamente la finestra del browser dell'utente” per reindirizzare i visitatori del sito a piattaforme di gioco d'azzardo in lingua cinese.

“L'attacco sembra essere mirato o proveniente da regioni in cui il mandarino è comune, e le pagine di destinazione finali presentano contenuti di gioco d'azzardo con il marchio 'Kaiyun'.

I reindirizzamenti avvengono tramite JavaScript ospitato su cinque domini diversi, che funge da caricatore per il payload principale responsabile dell'esecuzione dei reindirizzamenti.

mlbetjs[.]com

ptfafajs[.]com

zuizhongjs[.]com

jbwzzzjs[.]com

jpbkte[.]com

SOC