Une nouvelle campagne malveillante a compromis plus de 15 000 sites WordPress<\/a> dans le but de rediriger les visiteurs vers de faux portails de questions-r\u00e9ponses.<\/p>\n “Ces redirections malveillantes semblent \u00eatre con\u00e7ues pour accro\u00eetre l’autorit\u00e9 des sites de l’attaquant pour les moteurs de recherche”, a d\u00e9clar\u00e9 Ben Martin, chercheur \u00e0 Sucuri. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re, le qualifiant de “astuce SEO astucieuse pour le chapeau noir”.<\/p>\n La technique d’empoisonnement des moteurs de recherche est con\u00e7ue pour promouvoir une \u00ab poign\u00e9e de faux sites de questions-r\u00e9ponses de mauvaise qualit\u00e9 \u00bb qui partagent des mod\u00e8les de cr\u00e9ation de sites Web similaires et sont exploit\u00e9s par le m\u00eame acteur malveillant.<\/p>\n Un aspect notable de la campagne est la capacit\u00e9 des pirates \u00e0 modifier plus de 100 fichiers en moyenne par site Web, une approche qui contraste radicalement avec d’autres attaques de ce type dans lesquelles seul un nombre limit\u00e9 de fichiers sont alt\u00e9r\u00e9s pour r\u00e9duire l’empreinte et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Certaines des pages les plus fr\u00e9quemment infect\u00e9es comprennent wp-signup.php, wp-cron.php, wp-links-opml.php, wp-settings.php, wp-comments-post.php, wp-mail.php, xmlrpc .php, wp-activate.php, wp-trackback.php et wp-blog-header.php.<\/p>\n Ce compromis \u00e9tendu permet au logiciel malveillant d’ex\u00e9cuter les redirections vers les sites Web choisis par l’attaquant. Il convient de souligner que les redirections ne se produisent pas si le cookie wordpress_logged_in<\/a> est pr\u00e9sent ou si la page courante est wp-login.php (c’est-\u00e0-dire la page de connexion) afin d’\u00e9viter d’\u00e9veiller les soup\u00e7ons.<\/p>\n L’objectif ultime de la campagne est de “conduire plus de trafic vers leurs faux sites” et de “renforcer l’autorit\u00e9 des sites en utilisant de faux clics sur les r\u00e9sultats de recherche pour que Google les classe mieux afin qu’ils obtiennent plus de trafic de recherche organique r\u00e9el”.<\/p>\n Le code inject\u00e9 y parvient en initiant une redirection vers une image PNG h\u00e9berg\u00e9e sur un domaine nomm\u00e9 “ois[.]est<\/a>” qui, au lieu de charger une image, dirige le visiteur du site Web vers une URL de r\u00e9sultat de recherche Google d’un domaine Q&A de spam.<\/p>\n On ne sait pas imm\u00e9diatement comment les sites WordPress sont pirat\u00e9s, et Sucuri a d\u00e9clar\u00e9 qu’il n’avait remarqu\u00e9 aucune faille \u00e9vidente du plugin exploit\u00e9e pour mener \u00e0 bien la campagne.<\/p>\n Cela dit, on soup\u00e7onne qu’il s’agit d’un cas de force brute sur les comptes d’administrateur WordPress, ce qui rend essentiel que les utilisateurs activent l’authentification \u00e0 deux facteurs et s’assurent que tous les logiciels sont \u00e0 jour.<\/p>\n <\/p>\n<\/div>\n![\"Campagne](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1668429788_342_Plus-de-15-000-sites-WordPress-compromis-dans-une-campagne.jpg\" "\\"Campagne")
<\/div>\n![](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Le-service-de-phishing-de-Robin-Banks-pour-les-cybercriminels.gif\")
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/center><\/div>\n