Χιλιάδες WordPress sites έχουν παραβιαστεί για την εγκατάσταση κακόβουλων plugins που εμφανίζουν ψεύτικες ενημερώσεις λογισμικού και σφάλματα, για να προωθήσουν κακόβουλο λογισμικό που κλέβει πληροφορίες (info-stealer malware).
Αυτού του είδους το κακόβουλο λογισμικό είναι πολύ επικίνδυνο, καθώς τα κλεμμένα credentials χρησιμοποιούνται για την παραβίαση δικτύων και την κλοπή δεδομένων. Από το 2023, μια κακόβουλη καμπάνια με το όνομα ClearFake, εμφανίζει πλαστά banner με υποτιθέμενες ενημερώσεις του προγράμματος περιήγησης σε παραβιασμένους ιστότοπους. Στόχος είναι να ξεγελαστούν οι χρήστες, να προσπαθήσουν να ενημερώσουν τον browser και τελικά να μολυνθούν με κακόβουλο λογισμικό.
Το 2024, παρουσιάστηκε μια νέα καμπάνια με την ονομασία ClickFix, που εμφανίζει μηνύματα σφάλματος λογισμικού και καλεί τους χρήστες να διορθώσουν το πρόβλημα. Ωστόσο, αυτές οι “διορθώσεις” είναι PowerShell scripts που, όταν εκτελεστούν, θα κάνουν λήψη και εγκατάσταση info-stealer malware.
Δείτε επίσης: LiteSpeed Cache WordPress: Νέα ευπάθεια επιτρέπει επιθέσεις XSS
Ερευνητές έχουν παρατηρήσει καμπάνιες ClickFix που παραβιάζουν ιστότοπους για να εμφανίζουν ψεύτικα σφάλματα για το Google Chrome, το Google Meet, το Facebook κ.ά.
Κακόβουλα WordPress plugins
Την περασμένη εβδομάδα, η GoDaddy ανέφερε ότι κυβερνοεγκληματίες έχουν παραβιάσει πάνω από 6.000 ιστότοπους WordPress για να εγκαταστήσουν κακόβουλα plugins που εμφανίζουν ψεύτικες ειδοποιήσεις που σχετίζονται με τις καμπάνιες ClearFake/ClickFix.
“Η ομάδα GoDaddy Security παρακολουθεί μια νέα παραλλαγή της καμπάνιας ClickFix (επίσης γνωστής ως ClearFake) με ψεύτικες ενημερώσεις προγράμματος περιήγησης, που διανέμεται μέσω ψεύτικων WordPress plugins“, εξηγεί ο ερευνητής ασφαλείας της GoDaddy, Denis Sinegubko.
“Αυτά τα φαινομενικά νόμιμα plugins έχουν σχεδιαστεί για να φαίνονται αβλαβή για τους διαχειριστές ιστότοπων, αλλά περιέχουν ενσωματωμένα κακόβουλα scripts που παρέχουν ψεύτικα μηνύματα ενημέρωσης προγράμματος περιήγησης στους τελικούς χρήστες“.
Τα κακόβουλα plugins χρησιμοποιούν ονόματα παρόμοια με τα νόμιμα plugins, όπως το Wordfense Security και το LiteSpeed Cache.
Η λίστα των κακόβουλων plugins που εμφανίζονται σε αυτήν την καμπάνια (μεταξύ Ιουνίου και Σεπτεμβρίου 2024) είναι:
| LiteSpeed Cache Classic | Custom CSS Injector |
| MonsterInsights Classic | Custom Footer Generator |
| Wordfence Security Classic | Custom Login Styler |
| Search Rank Enhancer | Dynamic Sidebar Manager |
| SEO Booster Pro | Easy Themes Manager |
| Google SEO Enhancer | Form Builder Pro |
| Rank Booster Pro | Quick Cache Cleaner |
| Admin Bar Customizer | Responsive Menu Builder |
| Advanced User Manager | SEO Optimizer Pro |
| Advanced Widget Manage | Simple Post Enhancer |
| Content Blocker | Social Media Integrator |
Η εταιρεία ασφαλείας ιστοτόπων Sucuri έκανε λόγο για ένα ψεύτικο plugin με το όνομα “Universal Popup Plugin“, που είναι, επίσης, μέρος αυτής της καμπάνιας.
Δείτε επίσης: Ευπάθειες ασφαλείας στα Houzez WordPress Theme και Plugin
Όταν εγκατασταθεί, το κακόβουλο plugin θα κάνει διάφορα πράγματα για να εισάγει ένα κακόβουλο JavaScript script στο HTML του ιστότοπου. Όταν φορτωθεί, αυτό το script θα προσπαθήσει να φορτώσει ένα επιπλέον κακόβουλο αρχείο JavaScript, το οποίο στη συνέχεια φορτώνει το ClearFake ή ClickFix script για την εμφάνιση των ψεύτικων ενημερώσεων/σφαλμάτων.
Φαίνεται ότι αρχικά οι επιτιθέμενοι χρησιμοποιούν κλεμμένα διαπιστευτήρια διαχειριστή για να συνδεθούν σε WordPress sites και να εγκαταστήσουν το plugin με αυτοματοποιημένο τρόπο.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Μόλις συνδεθούν, οι επιτιθέμενοι ανεβάζουν και εγκαθιστούν το κακόβουλο plugin.
Οι διαχειριστές WordPress sites πρέπει να είναι πολύ προσεκτικοί και να ελέγχουν για αναφορές χρηστών σχετικά με ειδοποιήσεις ενημέρωσης. Θα πρέπει να γίνει έλεγχος της λίστας των εγκατεστημένων plugins και να αφαιρεθούν όποια δεν έχουν εγκατασταθεί από τους διαχειριστές. Εάν βρεθούν άγνωστα plugins, συνιστάται επίσης η άμεση επαναφορά κωδικών για τους admin users.
Σημασία προστασίας WordPress
Η προστασία των ιστοσελίδων WordPress είναι ιδιαίτερα σημαντική για πολλούς λόγους. Αρχικά, οι ιστότοποι WordPress είναι πολύ δημοφιλείς, που σημαίνει ότι αποτελούν βασικό στόχο για τους κυβερνοεγκληματίες. Αν ο ιστότοπός σας δεν είναι προστατευμένος, μπορεί να προκληθεί σημαντική ζημιά.
Επιπρόσθετα, ένα μη προστατευόμενο site WordPress μπορεί να υπονομεύσει την εμπιστοσύνη και την αξιοπιστία που έχετε δημιουργήσει με τους πελάτες σας. Εάν τα δεδομένα τους υποκλαπούν, είναι πολύ πιθανό να προσφύγουν νομικά εναντίον σας και να στραφούν σε άλλες εταιρείες.
Δείτε επίσης: Το WordPress θα απαιτεί 2FA από τους προγραμματιστές plugin
Η προστασία του ιστοτόπου σας είναι επίσης σημαντική για τη διατήρηση της συνοχής και της αξιοπιστίας του περιεχομένου σας. Αν ένας hacker παραβιάσει τον WordPress ιστότοπό σας και αλλοιώσει το περιεχόμενο, μπορεί να προκληθεί η εντύπωση ότι δεν ασχολείστε αρκετά με τον ιστότοπό σας.
Με άλλα λόγια, η εξασφάλιση της προστασίας του ιστοτόπου WordPress δεν είναι απλά θέμα προστασίας των δεδομένων σας – είναι θέμα διατήρησης της εμπιστοσύνης των πελατών σας, συντήρησης της φήμης της εταιρείας σας και παραμονής στην κορυφή του ανταγωνισμού.
Πηγή: www.bleepingcomputer.com
