Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Crowdtour Promo Banner For Milan V1 970x120 Desktop
Banner Mobile V1
Il nuova botnet GoTrim prende di mira gli account di amministrazione di WordPress

Il nuova botnet GoTrim prende di mira gli account di amministrazione di WordPress

Redazione RHC : 14 Dicembre 2022 16:33

Gli specialisti di Fortinet hanno scoperto un nuovo malware chiamato GoTrim il quale è stato scritto in Go e sta scansionando Internet alla ricerca di siti WordPress per forzare la password degli amministratori del sito e ottenerne il controllo.

Tali attacchi possono portare alla distribuzione di malware, all’introduzione di script sui siti Web per rubare carte bancarie, al posizionamento di pagine di phishing e ad altri scenari di attacco che potenzialmente colpiscono milioni di utenti (a seconda della popolarità delle risorse compromesse).

Gli esperti scrivono che GoTrim è ancora in fase di sviluppo, ma ha già potenti funzionalità. Gli attacchi botnet sono iniziati alla fine di settembre 2022 e sono tuttora in corso.


Banner 600x900 Betti Rha Cybersecurity Awareness

Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? 
Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto.
Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Gli operatori del malware forniscono ai loro bot un lungo elenco di risorse di destinazione e un elenco di credenziali, dopodiché il malware si connette a ciascun sito e tenta di forzare gli account amministratore utilizzando accessi e password dall’elenco esistente.

In caso di successo, GoTrim accede al sito compromesso e invia informazioni sulla nuova infezione al server di comando e controllo (incluso l’ID del bot sotto forma di hash MD5). Il malware utilizza quindi script PHP per estrarre il client bot GoTrim da un URL hardcoded, quindi rimuove sia lo script che il componente di forza bruta dal sistema infetto.

In realtà GoTrim può funzionare in due modalità: “client” e “server”. In modalità client, il malware avvia una connessione al server di controllo della botnet, mentre in modalità server avvia un server HTTP e attende le richieste in arrivo. Ad esempio, se un endpoint compromesso è connesso direttamente a Internet, il malware utilizza la modalità server per impostazione predefinita.

GoTrim invia richieste al server dell’attaccante ogni pochi minuti e se il bot non riceve una risposta dopo 100 tentativi, smetterà di funzionare.

Il server C&C può inviare i seguenti comandi a GoTrim:

  • controllare le credenziali fornite per i domini WordPress;
  • controlla le credenziali fornite per Joomla! (non ancora implementato);
  • controllare le credenziali fornite per i domini OpenCart;
  • verificare le credenziali fornite per i domini Data Life Engine (non ancora implementati);
  • rilevare installazioni di CMS WordPress, Joomla!, OpenCart o Data Life Engine nel dominio;
  • eliminare il malware.

È interessante notare che la botnet ha cercato di evitare l’attenzione del team di sicurezza di WordPress e non ha attaccato i siti ospitati su WordPress.com, prendendo di mira solo i siti con i propri server. Questo viene implementato controllando l’intestazione HTTP Referer per “wordpress.com”.

Inoltre, gli esperti hanno notato che la botnet evita di attaccare i siti ospitati su 1gb.ru, ma le ragioni esatte di questo comportamento non sono state stabilite.

Per proteggersi da GoTrim e altre minacce simili, gli esperti raccomandano agli amministratori del sito di utilizzare password complesse, di non riutilizzare le password e di utilizzare sempre l’autenticazione a due fattori, se possibile.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
100 anni di Intelligence italiana! Mattarella celebra il centenario del SIM al Quirinale
Di Redazione RHC - 16/10/2025

Il 15 ottobre 2025 segna un anniversario di eccezionale rilievo nella storia della sicurezza nazionale italiana: cento anni dalla nascita del Servizio Informazioni Militare (SIM), primo servizio di in...

Immagine del sito
Allarme: migliaia di siti italiani a rischio! 526.000 siti e 6.500 db in vendita nel Darkweb
Di Luca Stivali - 16/10/2025

Un nuovo post sul dark web offre l’accesso completo a migliaia di server e database MySQL appartenenti a provider italiani di hosting condiviso. Nelle ultime ore è apparso su un forum underground u...

Immagine del sito
F5 subisce una violazione di sicurezza: codice sorgente e dati sensibili rubati
Di Redazione RHC - 16/10/2025

Un grave incidente di sicurezza è stato segnalato da F5, principale fornitore di soluzioni per la sicurezza e la distribuzione delle applicazioni. Era stato ottenuto l’accesso a lungo termine ai si...

Immagine del sito
Il “Double Bind” porta al Jailbreak di GPT-5: L’AI che è stata convinta di essere schizofrenica
Di Luca Vinciguerra - 15/10/2025

Un nuovo e insolito metodo di jailbreaking, ovvero l’arte di aggirare i limiti imposti alle intelligenze artificiali, è arrivato in redazione. A idearlo è stato Alin Grigoras, ricercatore di sicur...

Immagine del sito
Microsoft Patch Tuesday col botto! 175 bug corretti e due zero-day sfruttati
Di Redazione RHC - 14/10/2025

Nel suo ultimo aggiornamento, il colosso della tecnologia ha risolto 175 vulnerabilità che interessano i suoi prodotti principali e i sistemi sottostanti, tra cui due vulnerabilità zero-day attivame...