Более 100 000 сайтов на WordPress были атакованы

Более 100 000 сайтов на WordPress были атакованы

Более 100 000 сайтов на WordPress были атакованы

26 января 2017 года, разработчики одной из популярнейших CMS в мире выпустили WordPress 4.7.2, сообщив, что в новой версии платформы был исправлен ряд проблем. Как выяснилось неделю спустя, релиз WordPress 4.7.2 устранил крайне серьезную уязвимость, связанную с повышением привилегий.

В конце января 2017 года брешь обнаружили специалисты компании Sucuri, и они описывают ее как неавторизованную эскалацию привилегий через REST API. Уязвимости подвержены версии 4.7.0 и 4.7.1.

Тогда раскрытие данных об уязвимости сознательно отложили на неделю, чтобы как можно больше сайтов успели спокойно установить обновление, но, судя по всему, это не слишком помогло. Специалисты Sucuri сообщают, что первые попытки эксплуатации бага были замечены в тот же день, когда информация о проблеме была опубликована. В настоящий момент количество атак продолжает расти и уже превысило отметку 3000 дефейсов в день, пишет xakep.ru.

 

 

 

Напомню, что проблема позволяет неавторизованному атакующему сформировать специальный запрос, при помощи которого можно будет изменять и удалять содержимое любого поста на целевом сайте. Кроме того, используя шорткоды плагинов, злоумышленник может эксплуатировать и другие уязвимости CMS, которые обычно недоступны даже пользователям с высокими привилегиями. В итоге атакующий может внедрить на страницы сайта SEO-спам, рекламу, и даже исполняемый PHP-код, все зависит от доступных плагинов.

Аналитики Sucuri пишут, что их собственные серверы-ловушки (honeypot) обнаружили уже четыре группы атакующих, которые активно эксплуатируют свежую проблему WordPress. В блоге компании приведена следующая статистика:

Название группы IP-адреса Число жертв
w4l3XzY3 176.9.36.102
185.116.213.71
134.213.54.163
2a00:1a48:7808:104:9b57:dda6:eb3c:61e1 (IPv6)
66 000
Cyb3r-Shia 37.237.192.22 500
By+NeT.Defacer 144.217.81.160 500
By+Hawleri_hacker 144.217.81.160 500

К сожалению, на данный момент ситуация ухудшилась. Так, простой поиск по названию группировки w4l3XzY3 показывает, что компрометации подверглись более 100 000 сайтов:

 

 

Исследователи пишут, что пока проблему эксплуатируют преимущественно скрипт-кидди, которые скорее развлекаются, чем пытаются нанести реальный вред. Однако специалисты ожидают, что в скором времени злоумышленники будут пытаться монетизировать баг.

«Мы уже наблюдали несколько попыток эксплуатации проблемы, в ходе которых [атакующие] пытались добавлять спамерские изображения и контент в посты. Учитывая возможность монетизации, скорее всего, это станет самым популярным вектором использования уязвимости», — пишут аналитики Sucuri

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В США назвали ответчиков по уголовному делу о Garantex

В штате Вирджиния огласили обвинения по делу о Garantex. Ответчиками числятся два предполагаемых админа криптобиржи: осевший в России литовец Алексей Бесщеков и россиянин Александр Мира Серда, проживающий в ОАЭ.

Обоих обвиняют в отмывании денег по сговору. Бесщекову также инкриминируют сговор с целью обхода западных санкций и ведение финансового бизнеса в США без соответствующей лицензии.

Согласно материалам дела, гражданин Литвы со дня запуска сервиса выполнял функции технического администратора — отвечал за функционирование инфраструктуры и контролировал транзакции. Мира Серда является соучредителем и коммерческим директором Garantex.

По раздобытым спецслужбами свидетельствам, криптобиржу в числе прочих использовали криминальные элементы — завсегдатаи хакерских форумов, теневых маркетплейсов, а также операторы шифровальщиков Black Basta, Play и Conti. Фигуранты дела якобы знали об этом и даже принимали меры для сокрытия пособничества преступникам.

Минюст США также подтвердил блокировку сайтов Garantex в связи с открытым уголовным делом. С разрешения суда Секретная служба перевела под свой контроль три домена: garantex.org, garantex.io и garantex.academy.

Правоохрана Германии и Финляндии отключила от интернета серверы криптобиржи, а американцы перед этим скопировали с них содержимое, в том числе клиентские базы и бухгалтерию. Активы Garantex, облегчавшие отмывание денег, заморожены — суммарно более $26 миллионов; выявить их помогли Tether (эмитент USDT) и специалисты Elliptic.

Тем временем команда Garantex нашла выход для владельцев заблокированных кошельков и приглашает их на встречу в свой московский офис. Попутно пользователей предупредили о появлении мошеннических ресурсов — имитаций, собирающих учетные данные, и сайтов, предлагающих платные услуги по восстановлению активов или выводу средств.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru