Über 1.000 WordPress-Websites mit JavaScript-Hintertüren infiziert, die einem hartnäckigen Angreifer Zugang gewähren

Datenschutz / Sicherheit der Website

Mehr als 1.000 WordPress-Websites wurden mit einem JavaScript-Code eines Drittanbieters infiziert, der vier separate Hintertüren einschleust.

"Die Schaffung von vier Hintertüren macht es Angreifern leicht, mehrere Einstiegspunkte zu haben, falls eine von ihnen entdeckt und entfernt wird", so Himanshu Anand, Forscher bei c/side, in einer Analyse vom Mittwoch.

Es wurde festgestellt, dass bösartiger JavaScript-Code über cdn.csyndication[.]com bereitgestellt wird. Nicht weniger als 908 Websites enthalten derzeit Verweise auf die betreffende Domain.

Die Funktionen der vier Backdoors werden im Folgenden erläutert:

Backdoor 1: Sie lädt und installiert ein gefälschtes Plugin namens "Ultra SEO Processor", das dann zur Ausführung der vom Angreifer gesendeten Befehle verwendet wird.

Backdoor 2: Sie fügt bösartiges JavaScript in die Datei wp-config.php ein.

Backdoor 3: fügt einen vom Angreifer kontrollierten SSH-Schlüssel in die Datei ~/.ssh/authorized_keys ein, um dauerhaften Fernzugriff auf den Rechner zu ermöglichen

Backdoor 4: Sie dient der Ausführung von Remote-Befehlen und ruft eine weitere Nutzlast von gsocket[.]io ab, um wahrscheinlich eine Reverse Shell zu öffnen.

Um das von den Angriffen ausgehende Risiko zu mindern, wird den Nutzern empfohlen, nicht autorisierte SSH-Schlüssel zu löschen, die Anmeldeinformationen für die WordPress-Administration zu ändern und die Systemprotokolle auf verdächtige Aktivitäten zu überwachen.

Die Entwicklung kommt zu einem Zeitpunkt, an dem das Cybersicherheitsunternehmen mitteilt, dass eine weitere Malware-Kampagne mehr als 35.000 Websites mit bösartigem JavaScript infiziert hat, das das Browserfenster des Benutzers komplett entführt", um die Besucher der Website auf chinesischsprachige Glücksspielplattformen umzuleiten.

Der Angriff scheint auf Regionen abzuzielen, in denen Mandarin weit verbreitet ist, und die Zielseiten enthalten Glücksspielinhalte mit der Marke "Kaiyun".

Die Weiterleitungen erfolgen über JavaScript, das auf fünf verschiedenen Domänen gehostet wird und als Lader für die Hauptnutzlast fungiert, die für die Ausführung der Weiterleitungen verantwortlich ist.

mlbetjs[.]com

ptfafajs[.]com

zuizhongjs[.]com

jbwzzzjs[.]com

jpbkte[.]com

SOC