Des milliers de sites WordPress utilisant une version vuln\u00e9rable du plugin Popup Builder ont \u00e9t\u00e9 compromis par un malware appel\u00e9 Injecteur Balada<\/strong>.<\/p>\n Document\u00e9e pour la premi\u00e8re fois par Doctor Web en janvier 2023, la campagne se d\u00e9roule sous la forme d’une s\u00e9rie de vagues d’attaques p\u00e9riodiques, exploitant les failles de s\u00e9curit\u00e9 des plugins WordPress pour injecter des portes d\u00e9rob\u00e9es con\u00e7ues pour rediriger les visiteurs de sites infect\u00e9s vers de fausses pages d’assistance technique, des gains frauduleux \u00e0 la loterie et des escroqueries par notifications push. .<\/p>\n Les d\u00e9couvertes ult\u00e9rieures exhum\u00e9es par Sucuri ont r\u00e9v\u00e9l\u00e9 l’ampleur massive de l’op\u00e9ration, qui serait active depuis 2017 et aurait infiltr\u00e9 depuis lors pas moins d’un million de sites.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de sites Web appartenant \u00e0 GoDaddy, qui d\u00e9tect\u00e9<\/a> la derni\u00e8re activit\u00e9 de Balada Injector le 13 d\u00e9cembre 2023, a d\u00e9clar\u00e9 avoir identifi\u00e9 les injections sur plus de 7 100 sites<\/a>.<\/p>\n Ces attaques profitent d’une faille de haute gravit\u00e9 dans Popup Builder (CVE-2023-6000<\/a>score CVSS : 8,8) \u2013 un plugin avec plus de 200 000 installations actives<\/a> \u2013 qui a \u00e9t\u00e9 divulgu\u00e9 publiquement par WPScan la veille. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la version 4.2.3.<\/p>\n “Lorsqu’elle est exploit\u00e9e avec succ\u00e8s, cette vuln\u00e9rabilit\u00e9 peut permettre aux attaquants d’effectuer toute action que l’administrateur connect\u00e9 qu’ils ont cibl\u00e9 est autoris\u00e9 \u00e0 faire sur le site cibl\u00e9, y compris l’installation de plugins arbitraires et la cr\u00e9ation de nouveaux utilisateurs administrateurs malveillants”, a d\u00e9clar\u00e9 Marc Montpas, chercheur chez WPScan. dit<\/a>.<\/p>\n Le but ultime de la campagne est d’ins\u00e9rer un fichier JavaScript malveillant h\u00e9berg\u00e9 sur specialcraftbox[.]com et utilisez-le pour prendre le contr\u00f4le du site Web et charger du JavaScript suppl\u00e9mentaire afin de faciliter les redirections malveillantes.<\/p>\n De plus, les acteurs malveillants derri\u00e8re Balada Injector sont connus pour \u00e9tablir un contr\u00f4le persistant sur les sites compromis en t\u00e9l\u00e9chargeant des portes d\u00e9rob\u00e9es, en ajoutant des plugins malveillants et en cr\u00e9ant des administrateurs de blog malveillants.<\/p>\n Ceci est souvent r\u00e9alis\u00e9 en utilisant des injections JavaScript pour cibler sp\u00e9cifiquement les administrateurs de site connect\u00e9s.<\/p>\n “L’id\u00e9e est que lorsqu’un administrateur de blog se connecte \u00e0 un site Web, son navigateur contient des cookies qui lui permettent d’effectuer toutes ses t\u00e2ches administratives sans avoir \u00e0 s’authentifier \u00e0 chaque nouvelle page”, a not\u00e9 l’ann\u00e9e derni\u00e8re Denis Sinegubko, chercheur \u00e0 Sucuri.<\/p>\n “Ainsi, si leur navigateur charge un script qui tente d’\u00e9muler l’activit\u00e9 de l’administrateur, il pourra faire presque tout ce qui peut \u00eatre fait via l’interface d’administration de WordPress.”<\/p>\n La nouvelle vague ne fait pas exception dans la mesure o\u00f9 si des cookies d’administrateur connect\u00e9s sont d\u00e9tect\u00e9s, elle utilise les privil\u00e8ges \u00e9lev\u00e9s pour installer et activer un plugin de porte d\u00e9rob\u00e9e malveillant (“wp-felody.php” ou “Wp Felody”) afin d’en r\u00e9cup\u00e9rer un deuxi\u00e8me. -charge utile de sc\u00e8ne du domaine susmentionn\u00e9.<\/p>\n La charge utile, une autre porte d\u00e9rob\u00e9e, est enregistr\u00e9e sous le nom “sasas” dans le r\u00e9pertoire o\u00f9 sont stock\u00e9s les fichiers temporaires<\/a>puis est ex\u00e9cut\u00e9 et supprim\u00e9 du disque.<\/p>\n “Il v\u00e9rifie jusqu’\u00e0 trois niveaux au-dessus du r\u00e9pertoire actuel, recherchant le r\u00e9pertoire racine du site actuel et tout autre site susceptible de partager le m\u00eame compte de serveur”, a d\u00e9clar\u00e9 Sinegubko.<\/p>\n “Ensuite, dans les r\u00e9pertoires racine du site d\u00e9tect\u00e9s, il modifie le fichier wp-blog-header.php pour injecter le m\u00eame malware JavaScript Balada que celui initialement inject\u00e9 via la vuln\u00e9rabilit\u00e9 Popup Builder.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Balada-Injector-infecte-plus-de-7-100-sites-WordPress-a-laide.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n