Διαχειριστές WordPress sites άρχισαν να λαμβάνουν μέσω email ψεύτικo WordPress security advisory για μια υποτιθέμενη ευπάθεια που παρακολουθείται ως CVE-2023-45124 και μολύνει ιστότοπους με ένα κακόβουλο plugin.
Η καμπάνια εντοπίστηκε και αναφέρθηκε από ειδικούς του WordPress στις Wordfence και PatchStack και δημοσίευσαν ειδοποιήσεις στους ιστότοπούς τους για να μάθουν περισσότεροι διαχειριστές για την απάτη.
Ψεύτικη ενημέρωση για WordPress sites
Τα emails υποτίθεται ότι προέρχονται από το WordPress και προειδοποιούν για μια νέα κρίσιμη ευπάθεια που επιτρέπει εκτέλεση κώδικα απομακρυσμένα. Η ευπάθεια υποτίθεται ότι εντοπίζεται στην πλατφόρμα στον ιστότοπο του διαχειριστή, και γι’ αυτό πρέπει να γίνει άμεση λήψη και εγκατάσταση ενός ενημερωμένου plugin που διορθώνει το ζήτημα.
Κάνοντας κλικ στο κουμπί “Download Plugin” μέσα στο email, το θύμα οδηγείται σε μια ψεύτικη σελίδα στο “en-gb-wordpress[.]org” που μοιάζει με τον νόμιμο ιστότοπο “wordpress.com“.
Δείτε επίσης: WP Fastest Cache plugin: SQL injection ευπάθεια θέτει σε κίνδυνο χιλιάδες WordPress sites
Η καταχώριση για το ψεύτικο πρόσθετο δείχνει έναν μεγάλο αριθμό λήψεων (500.000 και μπορεί να αυξάνεται), μαζί με πολλές ψεύτικες κριτικές χρηστών που αναφέρουν πώς κατάφεραν να σώσουν το site τους χρησιμοποιώντας την ενημερωμένη έκδοση του WordPress plugin.
Η συντριπτική πλειονότητα των κριτικών χρηστών είναι κριτικές πέντε αστέρων, αλλά υπάρχουν και κάποιες χαμηλότερες κριτικές, για να φαίνεται πιο ρεαλιστικό.
Κατά την εγκατάσταση, το πρόσθετο δημιουργεί έναν κρυφό admin user με το όνομα ‘wpsecuritypatch‘ και στέλνει πληροφορίες για το θύμα στον command and control server (C2) των επιτιθέμενων στο ‘wpgate[.]zip.
Στη συνέχεια, το ψεύτικο WordPress plugin κατεβάζει ένα base64-encoded backdoor payload από το C2 και το αποθηκεύει ως ‘wp-autoload.php’ στο webroot του ιστότοπου.
Το backdoor διαθέτει δυνατότητες διαχείρισης αρχείων, QL client, PHP console και command line terminal και εμφανίζει λεπτομερείς πληροφορίες σχετικά με το περιβάλλον διακομιστή στους εισβολείς.
Το κακόβουλο πρόσθετο δεν φαίνεται στη λίστα με τα εγκατεστημένα plugins, ώστε να μην μπορεί να εντοπιστεί με manual αναζήτηση στο root directory του site.
Προς το παρόν, δεν γνωρίζουμε λεπτομέρειες για τον τρόπο λειτουργίας και το στόχο του κακόβουλου plugin.
Ωστόσο, η PatchStack εικάζει ότι θα μπορούσε να χρησιμοποιηθεί για την εισαγωγή διαφημίσεων σε παραβιασμένους ιστότοπους, την ανακατεύθυνση επισκεπτών σε κακόβουλα sites, την κλοπή ευαίσθητων πληροφοριών ή ακόμα και τον εκβιασμό ιδιοκτητών απειλώντας να διαρρεύσει το περιεχόμενο της βάσης δεδομένων του ιστότοπού τους.
Δείτε επίσης: WordPress Royal Elementor plugin: Διορθώνει κρίσιμη ευπάθεια
Σημάδια απάτης
Αυτή η ψεύτικη αναβάθμιση στάλθηκε μέσω email στους διαχειριστές WordPress sites. Επομένως, θα πρέπει να είμαστε πολύ προσεκτικοί και να ελέγχουμε για πιθανά σημάδια απάτης που σχετίζονται με υποτιθέμενες ενημερώσεις.
Ένα από τα σημάδια που πρέπει να παρατηρήσουμε για να αναγνωρίσουμε μια απάτη αναβάθμισης ασφαλείας είναι η απροσδόκητη εμφάνιση της ενημέρωσης. Αν λάβετε ένα μήνυμα ή μια ειδοποίηση για μια αναβάθμιση που δεν περιμένατε πρέπει να είστε προσεκτικοί. Οι απατεώνες συχνά χρησιμοποιούν αυτήν την τακτική για να παραπλανήσουν τους χρήστες και να τους πείσουν να κάνουν κλικ σε κακόβουλους συνδέσμους ή να κατεβάσουν κακόβουλο λογισμικό.
Ένα άλλο σημάδι που μπορεί να υποδείξει μια απάτη αναβάθμισης ασφαλείας είναι η ανεπαρκής ή ανακριβής πληροφόρηση. Οι απατεώνες συχνά στέλνουν μηνύματα ή εμφανίζουν διαφημίσεις που περιέχουν ασαφείς ή ανακριβείς πληροφορίες σχετικά με την αναβάθμιση.
Ένα ακόμη σημάδι που πρέπει να προσέξουμε είναι η αίσθηση έκτακτης ανάγκης ή πίεσης. Οι απατεώνες συχνά προσπαθούν να πείσουν τους χρήστες ότι πρέπει να ενημερωθούν αμέσως για να αποφύγουν κάποιον κίνδυνο ή να προστατευτούν από μια απειλή. Είναι σημαντικό να διατηρούμε την ψυχραιμία μας και να ελέγχουμε τις πληροφορίες προτού πάρουμε οποιαδήποτε απόφαση.
Δείτε επίσης: User Submitted Posts: Βρέθηκε ευπάθεια στο WordPress plugin
Τέλος, ένα ακόμη σημάδι που μπορεί να υποδείξει μια απάτη είναι η απαίτηση προσωπικών πληροφοριών ή οικονομικών λεπτομερειών. Οι απατεώνες μπορεί να ζητήσουν από τους χρήστες να παράσχουν προσωπικές πληροφορίες, όπως κωδικούς πρόσβασης, αριθμούς πιστωτικών καρτών ή άλλες οικονομικές λεπτομέρειες. Πρέπει να είμαστε προσεκτικοί και να μην αποκαλύπτουμε τέτοιες πληροφορίες σε ανεπιβεβαίωτες πηγές.
Ένας από τους σημαντικότερους τρόπους για να προστατεύσουμε τις συσκευές μας από τέτοιου είδους απάτες είναι να είμαστε προσεκτικοί με τις πηγές από τις οποίες λαμβάνουμε τις ενημερώσεις. Πρέπει να εμπιστευόμαστε μόνο επίσημες πηγές, όπως οι επίσημες ιστοσελίδες των κατασκευαστών ή των λογισμικών που χρησιμοποιούμε. Αποφύγετε το να κάνετε κλικ σε συνδέσμους από αναπάντεχα μηνύματα ή email που λαμβάνετε, καθώς μπορεί να είναι παραπλανητικά και να περιέχουν κακόβουλο λογισμικό.
Ένα άλλο σημαντικό βήμα είναι να ελέγχουμε την αξιοπιστία των ενημερώσεων πριν τις εγκαταστήσουμε. Μπορούμε να αναζητήσουμε πληροφορίες σχετικά με την ενημέρωση σε αξιόπιστες πηγές, όπως τα επίσημα φόρουμ των κατασκευαστών ή ανεξάρτητα ιστολόγια ασφαλείας. Αν υπάρχουν αναφορές για προβλήματα ή απάτες σχετικά με την ενημέρωση, τότε πρέπει να είμαστε προσεκτικοί.
Πηγή: www.bleepingcomputer.com
