Выявлена новая киберкампания, нацеленная на взлом сайтов WordPress. Злоумышленники используют XSS-уязвимости в трех популярных плагинах CMS для создания новых админ-аккаунтов, внедрения бэкдоров и трекинг-скриптов.
В Fastly отслеживают текущие атаки с середины апреля. Значительная часть попыток эксплойта исходит с голландских IP-адресов, ассоциируемых с AS202425 (IP Volume Inc.) и AS210848 (Telkom Internet LTD); оба провайдера базируются на Сейшелах.
Используемые хранимые XSS примечательны тем, что их эксплойт не требует аутентификации:
- CVE-2023-6961 в WP Meta SEO (сборки 4.5.12 и ниже);
- CVE-2023-40000 в LiteSpeed Cache (5.7.0 и ниже);
- CVE-2024-2194 в WP Statistics (14.5 и ниже).
Перечисленные WordPress-плагины суммарно насчитывают более 5,62 млн установок. До пропатченной версии, по данным экспертов, обновлены меньше половины.
В результате отработки эксплойта в страницы внедряется тег script, указывающий на внешний файл с обфусцированным JavaScript-кодом.
Вредонос создает новый аккаунт администратора, внедряет PHP-бэкдоры в файлы тем и плагинов и запускает трекинг — отправляет на удаленный сервер запрос HTTP GET с информацией о хосте. По всей видимости, это позволяет взломщикам мониторить заражение сайтов.
