Един милион WordPress сайта станали жертва на Baladа Injector

Компанията за компютърна сигурност Sucuri предостави информация за киберпрестъпна кампания, похитила над един милион WordPress инсталации. Специалистите проследяват началото ѝ от 2017. Става дума за операция, която през последните пет години превзема WP сайтове чрез експлоатирането на известни уязвимости в плъгини и теми за известната CMS платформа. Цел на тези атаки е било инсталирането на бекдор – зловреден код, осигуряващ им скрит достъп до управлението на страниците. Името му е Baladа Injector и е насочен към Линукс системи. Благодарение на него, киберпрестъпниците пренасочвали посетителите на пленените сайтове към фалшиви страници за техническа поддръжка, сайтове за фалшиви лотарии и томболи и показването на различни други измамнически съобщения пред евентуалните жертви.

Sucuri посочват, че авторите на тази кампания подхождат внимателно, като атаките им се провеждат по един-два пъти в месеца с използването на наскоро регистрирани домейнови имена, което да избегне предварителното му блокиране. Самата зловредна програма експлоатира основно новооткрити уязвимости, като подхода към отделните жертви е често индивидуален. Престъпниците зад Baladа Injector използват разнообразни вектори и техники за атака, като това често води до доблиране на атаките. Sucuri посочват например, че един от тези сайтове бил атакуван 311 пъти с 11 различни варианта на Baladа Injector.

Освен това, създателите на Baladа Injector използват множество предварително дефинирани файлови пътеки едновременно, което прави пълното премахване на бекдора изключително трудно, а имената на бекдор компонента се менят при всяка нова вълна от атаки.

Повече подробности за Baladа Injector, симптомите на инфектирането с бекдора и начина за лечението на ресурсите, заразени с него, може да намерите в репортажа на Sucuri тук.