Linux-Malware nutzt über 30 WordPress-Plugin-Backdoors aus

Das jüngste Auftauchen einer neuen Linux-Malware ist bei Webmastern und Website-Administratoren ein Grund zur Beunruhigung. Der unbekannte bösartige Code nutzt über 30 Plugins aus, um sich durch die Hintertür Zugang zu WordPress-Seiten zu verschaffen. Laut Cybersicherheitsexperten könnte dieser Exploit von Hackern für böswillige Aktivitäten verwendet werden, die von Datendiebstahl und -manipulation bis hin zu Distributed-Denial-of-Service-Angriffen (DDoS) reichen.

Die Malware wurde mit ausgeklügelten Umgehungsfunktionen entwickelt, um die meisten Anti-Malware-Lösungen zu umgehen. Es zielt hauptsächlich auf WordPress-Websites ab, auf denen anfällige Plugins ausgeführt werden oder die nicht die neuesten Patches installieren. Dieser unbekannte Exploit sucht auch nach falsch konfigurierten WordPress-Sites mit offengelegten Authentifizierungsseiten und führt Brute-Force-Angriffe gegen diese durch, um Zugang zu diesen Systemen zu erhalten. Sobald es drin ist, richtet es einen Backdoor-Zugang ein, den entfernte Angreifer jederzeit ausnutzen können.

Die Ziel-Plugins und -Themen sind die folgenden:

• WP Live-Chat-Support-Plugin
• WP DSGVO-Compliance-Plugin
• WordPress – Yuzo Verwandte Artikel
• Yellow Pencil Visual Theme Customizer Plugin
• Hybrid
• Einfaches SMTP
• WP DSGVO-Compliance-Plugin
• Zeitungs-Theme auf WordPress Access Control (CVE-2016-10972)
• Thim Kern
• Faceboor Live-Chat von Zotabox
• Google Code-Einfüger
• Plugin für Gesamtspenden
• Benutzerdefinierte Vorlagen Lite veröffentlichen
• WP Schnellbuchungsmanager
• Demnächst verfügbar Seite und Wartungsmodus
• Faceboor Live-Chat von Zotabox
• Blog Designer WordPress Plugin
• Häufig gestellte Fragen zu WordPress Ultimate (CVE-2019-17232 und CVE-2019-17233)
• WP-Matomo Integration (WP-Piwik)
• WordPress ND Shortcodes für Visual Composer
• WP Live-Chat
• Demnächst verfügbar Seite und Wartungsmodus

Angenommen, auf der Zielwebsite läuft eine veraltete und anfällige Version eines der oben genannten Plugins. In diesem Fall ruft die Malware automatisch bösartiges JavaScript von ihrem Command-and-Control-Server (C2) ab und injiziert das Skript in die Website-Website.

Infizierte Seiten fungieren als Weiterleitungen zu einem vom Angreifer gewählten Ort, daher funktioniert das System am besten auf verlassenen Seiten.

Diese Umleitungen können in Phishing-, Malware-Verteilungs- und Malvertising-Kampagnen eingesetzt werden, um der Erkennung und Blockierung zu entgehen. Allerdings könnten die Betreiber des Auto-Injektors ihre Dienste an andere Cyberkriminelle verkaufen.

Eine aktualisierte Version der Payload zielt auch auf die folgenden WordPress-Add-ons ab:

• Brizy WordPress Plugin
• FV Flowplayer Videoplayer
• WooCommerce (Englisch)
• WordPress Demnächst Seite
• WordPress-Theme OneTone
• WordPress-Plugin für einfache Felder
• FV Flowplayer Videoplayer
• WordPress Delucks SEO-Plugin
• Umfrage-, Umfrage-, Formular- und Quiz-Ersteller von OpinionStage
• Tracker für soziale Metriken
• Rich Reviews-Plugin
• WPeMatico RSS-Feed-Abruf
• Rich Reviews-Plugin

Um sich gegen diese Bedrohung zu verteidigen, müssen Administratoren von WordPress-Websites auf die neueste verfügbare Version der Themes und Plugins aktualisieren, die auf der Website ausgeführt werden, und diejenigen, die nicht mehr entwickelt wurden, durch unterstützte Alternativen ersetzen.

Die Verwendung sicherer Passwörter und die Aktivierung des Zwei-Faktor-Authentifizierungsmechanismus sollten den Schutz vor Brute-Force-Angriffen gewährleisten.