Güvenlik araştırmacıları, kimlik doğrulaması olmadan dosyaların yüklenmesini sağlayan savunmasız bir eklentinin varlığı için 1,6 milyona yakın WordPress sitesine yakın bir kampanya tespit ettiler.
Saldırganlar, CVE-2021-24284 olarak izlenen kritik bir şiddet kusuru için bir yama almadan önce yazarı tarafından terk edilen Kaswara Modern WPBakery sayfa oluşturucusunu hedefliyor.
Güvenlik açığı, kimlik doğrulanmamış bir saldırganın eklentinin herhangi bir sürümünü kullanarak sitelere kötü amaçlı JavaScript enjekte etmesini ve dosyaları yükleme ve silme gibi eylemleri gerçekleştirmesine izin verir, bu da sitenin tamamlanmasına yol açabilir.
Kampanyanın büyüklüğü etkileyici olsa da, 1.599.852 benzersiz site hedeflenirken, bunların sadece küçük bir kısmı savunmasız eklenti çalıştırıyor.
WordPress için WordFence güvenlik çözümünün üreticisi Defiant'ın araştırmacıları, korudukları müşteri sitelerine karşı günde ortalama yarım milyon saldırı denemesi gözlemlediler.
WordFence telemetri verilerine dayanarak, saldırılar 4 Temmuz'da başladı ve bu güne kadar devam ediyor. Ve bugün hala her gün ortalama 443.868 deneme sürecinde devam ediyor.
Saldırılar 10.215 farklı IP adresinden kaynaklanıyor, bazıları milyonlarca talep üretti, bazıları ise daha düşük sayılarla sınırlı.
Saldırganlar, bir PHP dosyası içeren kötü amaçlı bir zip yükü yüklemek için eklentinin ‘uploadFonticon’ Ajax işlevini kullanmaya çalışarak ‘WP-Admin/Admin-ajax/PHP'ye bir yazı isteği gönderir.
Bu dosya sırayla, ziyaretçileri kimlik avı ve kötü amaçlı yazılım düşürme siteleri gibi kötü amaçlı hedeflere yönlendirmek için hedef sitelerde bulunan meşru JavaScript dosyalarına kod enjekte eden NDSW Truva atını getirir.
Saldırganların zip yükleri için kullandığı bazı dosya adları ‘enjekte.zip’, ‘king_zip.zip’, ‘null.zip’, ‘plugin.zip’ ve ‘*** _ young.zip’.
Bu dosyalar veya “; eğer (ndsw == ”dize, javascript dosyalarınızdan herhangi birinde enfekte olduğunuzu gösterir.
Hala Kaswara Modern WPBakery Page Builder eklentisini kullanıyorsanız, hemen WordPress sitenizden kaldırmalısınız.
Eklentiyi kullanmıyorsanız, saldırganların IP adreslerini engellemeniz önerilir. Göstergeler ve en üretken istek kaynakları hakkında daha fazla bilgi için WordFence’ın bloguna göz atın.
730k WordPress siteleri Kritik eklenti hatası yamaya zorlandı
WordPress için Premium Okul Yönetim Eklentisine Back Door
PHP Web Kabuklarını Yüklemek İçin Büyük Kampanyada Hacklenen Elastix VoIP Systems
Bu kodsuz oluşturucu anlaşmasıyla hızlı bir şekilde mobil ilk mikrositleri başlatın
Tam Kimlik Hırsızlığı için Hacked WordPress sitelerine eklenen PayPal Kimlik Avı Kiti
Kaynak: Bleeping Computer