I siti WordPress in pericolo: un malware Linux sfrutta 30 vulnerabilità nei plugin e temi

Redazione RHC : 29 Gennaio 2023 19:01

Gli specialisti Doctor Web hanno scoperto un malware per Linux che hackera i siti basati su WordPress sfruttando 30 vulnerabilità in una serie di plug-in e temi. 

Gli script JavaScript dannosi vengono iniettati in siti vulnerabili, a causa dei quali, quando si fa clic in un punto qualsiasi di una pagina compromessa, i visitatori vengono reindirizzati ad altre risorse.

I ricercatori scrivono che questo malware potrebbe essere lo strumento dannoso con cui gli aggressori utilizzano da più di tre anni per eseguire attacchi e guadagnare denaro rivendendo il traffico – arbitraggio.

Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Il malware ha ricevuto l’identificatore Linux.BackDoor.WordPressExploit.1 ed è progettato per funzionare su dispositivi che eseguono sistemi operativi Linux a 32 bit, ma può funzionare anche su sistemi a 64 bit. 

Il malware è una backdoor che gli aggressori controllano da remoto. 

Al loro comando, è in grado di eseguire le seguenti azioni:

• attaccare una determinata pagina web (sito);
• passare alla modalità standby;
• Auto terminarsi;
• interrompere la registrazione delle azioni completate.

Prima che il Trojan contatti il ​​server di controllo e riceva da esso l’indirizzo della risorsa che deve essere violata. Tenta quindi di sfruttare le vulnerabilità nelle versioni obsolete dei seguenti plugin e temi che possono essere installati sul sito:

• WP Live Chat Support Plugin;
• WordPress – Yuzo Related Posts;
• Yellow Pencil Visual Theme Customizer Plugin;
• Easysmtp;
• WP GDPR Compliance Plugin;
• Newspaper Theme on WordPress Access Control (уязвимость CVE-2016-10972);
• Thim Core;
• Google Code Inserter;
• Total Donations Plugin;
• Post Custom Templates Lite;
• WP Quick Booking Manager;
• Faceboor Live Chat by Zotabox;
• Blog Designer WordPress Plugin;
• WordPress Ultimate FAQ (уязвимости CVE-2019-17232, CVE-2019-17233);
• WP-Matomo Integration (WP-Piwik);
• WordPress ND Shortcodes For Visual Composer;
• WP Live Chat;
• Coming Soon Page and Maintenance Mode;

Se una o più vulnerabilità vengono sfruttate con successo, il JavaScript dannoso scaricato da un server remoto viene inserito nella pagina di destinazione.

In questo caso, l’iniezione avviene in modo tale che quando viene caricata la pagina infetta, questo JavaScript verrà avviato per primo (indipendentemente dal contenuto precedente della pagina). 

In futuro, quando si fa clic in un punto qualsiasi della pagina, gli utenti verranno reindirizzati al sito di cui hanno bisogno gli aggressori. Di seguito è riportato un esempio di tale iniezione.

Si noti che il programma Trojan mantiene le statistiche del proprio lavoro: tiene traccia del numero totale di siti attaccati, di tutti i casi di utilizzo riuscito degli exploit e, inoltre, del numero di exploit riusciti delle vulnerabilità nel plug-in WordPress Ultimate FAQ e nel messenger di Facebook. Inoltre, il malware informa il server remoto di tutte le vulnerabilità rilevate senza patch.

Insieme all’attuale modifica del malware, gli esperti hanno rivelato anche la sua versione aggiornata: Linux.BackDoor.WordPressExploit.2. Si differenzia da quello originale per l’indirizzo del server di comando e controllo, l’indirizzo del dominio da cui viene caricato lo script dannoso, nonché un elenco esteso di vulnerabilità sfruttabili per i seguenti plug-in:

• Brizy WordPress Plugin;
• FV Flowplayer Video Player;
• WooCommerce;
• WordPress Coming Soon Page;
• WordPress theme OneTone;
• Simple Fields WordPress Plugin;
• WordPress Delucks SEO plugin;
• Poll, Survey, Form & Quiz Maker by OpinionStage;
• Social Metrics Tracker;
• WPeMatico RSS Feed Fetcher;
• Rich Reviews plugin.

Allo stesso tempo, in entrambe le versioni del malware, è stata rivelata la funzionalità non implementata per l’hacking degli account degli amministratori dei siti attaccati utilizzando la forza bruta. 

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.