Nowy exploit wtyczki WordPress zagraża tysiącom stron internetowych

W ciągu ostatnich kilku dni atakujący wykorzystali niezałataną lukę w WP Mobile Detector, wtyczce WordPress zainstalowanej na ponad 10 000 stronach.

Wtyczka in programista naprawił błąd wtorek w wersji 3.6, ale oprócz natychmiastowej aktualizacji, użytkownicy powinni również sprawdzić, czy ich strony nie zostały już zaatakowane przez hakerów.

Luka znajduje się w skrypcie o nazwie resize.php i umożliwia zdalnym napastnikom wgrać dowolne pliki na serwer WWW. Pliki te mogą być skryptami backdoora znanymi jako powłoki Web, które zapewniają intruzom dostęp z tyłu do serwera i możliwość wstrzyknięcia kodu na legalne strony.

[Dalsze informacje: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Błąd został wykryty przez zabezpieczenie WordPress PluginVulnerabilities.com po zaobserwowaniu żądań dla wp-content / plugins / wp-mobile-detector / resize.php, mimo że nie istniał on na swoim serwerze. Wskazuje to, że ktoś uruchomił automatyczne skanowanie dla tego konkretnego pliku, prawdopodobnie dlatego, że miał wadę.

Badacze z firmy zajmującej się ochroną sieci Sucuri przeanalizowali logi zapory firmowej i wykryli próby użycia od 27 maja, cztery dni przed poprawką wydany. Możliwe, że napastnicy dowiedzieli się o tym exploicie jeszcze przed tą datą.

WP Mobile Detector, którego nie należy mylić z inną, niewrażliwą wtyczką o nazwie WP Mobile Detect, miał na początku ponad 10 000 aktywnych instalacji maja. Teraz ma około 2000, ale po odkryciu tego exploita wtyczka została na krótko usunięta z katalogu wtyczek WordPress.org.

Według słabości Plugin jest czynnik ograniczający: aby ta wada mogła być Możliwość wykorzystania funkcji allow_url_fopen na serwerze.

Ponieważ nie jest jasne, ile stron zostało zaatakowanych przez hakerów, dobrym pomysłem jest dla właścicieli witryn WordPress, którzy używają tej wtyczki do sprawdzenia swoich serwerów pod kątem oznak kompromisu.

"W tej chwili większość zagrożonych stron jest zainfekowanych bramami spamu pornograficznego", powiedział badacz Sucuri Douglas Santos w poście na blogu. "Zazwyczaj można znaleźć katalog gopni3g w katalogu głównym lokacji, który zawiera story.php (skrypt generatora drzwi), .htaccess i podkatalogi zawierające spamerskie pliki i szablony."