Выявлена новая киберкампания, нацеленная на взлом сайтов WordPress. Злоумышленники используют XSS-уязвимости в трех популярных плагинах CMS для создания новых админ-аккаунтов, внедрения бэкдоров и трекинг-скриптов. В Fastly отслеживают текущие атаки с середины апреля.
Значительная часть попыток эксплойта исходит с голландских IP-адресов, ассоциируемых с AS202425 (IP Volume Inc.) и AS210848 (Telkom Internet LTD); оба провайдера базируются на Сейшелах. Используемые хранимые XSS примечательны тем, что их эксплойт не требует аутентификации: CVE-2023-6961 в WP Meta SEO (сборки 4.5.12 и ниже); CVE-2023-40000 в LiteSpeed Cache (5.7.0 и ниже); CVE-2024-2194 в WP Statistics (14.5 и ниже).
Перечисленные WordPress-плагины суммарно насчитывают более 5,62 млн установок. До пропатченной версии, по данным экспертов, обновлены меньше половины. В результате отработки эксплойта в страницы внедряется тег script, указывающий на внешний файл с обфусцированным JavaScript-кодом.
Вредонос создает новый аккаунт администратора, внедряет PHP-бэкдоры в файлы тем и плагинов и запускает трекинг — отправляет на удаленный сервер запрос HTTP GET с информацией о хосте. По всей видимости, это позволяет взломщикам мониторить заражение сайтов.
Мы в VK: https://vk.com/darkwebex
