On estime que plus d’un million de sites Web WordPress ont \u00e9t\u00e9 infect\u00e9s par une campagne en cours visant \u00e0 d\u00e9ployer des logiciels malveillants appel\u00e9s Injecteur Balada<\/strong> depuis 2017<\/a>.<\/p>\n La campagne massive, selon Sucuri de GoDaddy, “exploite toutes les vuln\u00e9rabilit\u00e9s de th\u00e8mes et de plugins connues et r\u00e9cemment d\u00e9couvertes” pour violer les sites WordPress. Les attaques sont connues pour se d\u00e9rouler par vagues une fois toutes les quelques semaines.<\/p>\n “Cette campagne est facilement identifiable par sa pr\u00e9f\u00e9rence pour String.fromCharCode<\/a> l’obscurcissement, l’utilisation de noms de domaine fra\u00eechement enregistr\u00e9s h\u00e9bergeant des scripts malveillants sur des sous-domaines al\u00e9atoires, et par des redirections vers divers sites frauduleux”, a d\u00e9clar\u00e9 Denis Sinegubko, chercheur en s\u00e9curit\u00e9. a dit<\/a>.<\/p>\n Les sites Web comprennent faux support technique<\/a>des gains frauduleux \u00e0 la loterie et des pages CAPTCHA malveillantes incitant les utilisateurs \u00e0 activer les notifications “Veuillez autoriser \u00e0 v\u00e9rifier que vous n’\u00eates pas un robot”, permettant ainsi aux acteurs d’envoyer des spams.<\/p>\n Le rapport s’appuie sur les d\u00e9couvertes r\u00e9centes de Doctor Web, qui d\u00e9taille une famille de logiciels malveillants Linux qui exploite les failles de plus de deux douzaines de plugins et de th\u00e8mes pour compromettre les sites WordPress vuln\u00e9rables.<\/p>\n Au cours des ann\u00e9es interm\u00e9diaires, Balada Injector s’est appuy\u00e9 sur plus de 100 domaines et une pl\u00e9thore de m\u00e9thodes pour tirer parti des failles de s\u00e9curit\u00e9 connues (par exemple, l’injection HTML et URL du site<\/a>), les attaquants tentant principalement d’obtenir les informations d’identification de la base de donn\u00e9es dans le fichier wp-config.php.<\/p>\n De plus, les attaques sont con\u00e7ues pour lire ou t\u00e9l\u00e9charger des fichiers de site arbitraires – y compris des sauvegardes, des vidages de base de donn\u00e9es, des fichiers journaux et d’erreur – ainsi que pour rechercher des outils tels que adminer et phpmyadmin qui auraient pu \u00eatre laiss\u00e9s de c\u00f4t\u00e9 par les administrateurs du site lors de l’ex\u00e9cution des t\u00e2ches de maintenance.<\/p>\n Le logiciel malveillant permet finalement de g\u00e9n\u00e9rer de faux utilisateurs administrateurs WordPress, de r\u00e9colter des donn\u00e9es stock\u00e9es dans les h\u00f4tes sous-jacents et de laisser des portes d\u00e9rob\u00e9es pour un acc\u00e8s persistant.<\/p>\n Balada Injector effectue en outre de vastes recherches dans les r\u00e9pertoires de niveau sup\u00e9rieur associ\u00e9s au syst\u00e8me de fichiers du site Web compromis pour localiser les r\u00e9pertoires inscriptibles appartenant \u00e0 d’autres sites.<\/p>\n “Le plus souvent, ces sites appartiennent au webmaster du site compromis et ils partagent tous le m\u00eame compte de serveur et les m\u00eames autorisations de fichiers”, a d\u00e9clar\u00e9 Sinegubko. “De cette mani\u00e8re, compromettre un seul site peut potentiellement donner acc\u00e8s \u00e0 plusieurs autres sites” gratuitement “.”<\/p>\n Si ces voies d’attaque s’av\u00e8rent indisponibles, le mot de passe administrateur est forc\u00e9 brutalement \u00e0 l’aide d’un ensemble de 74 informations d’identification pr\u00e9d\u00e9finies. Il est donc recommand\u00e9 aux utilisateurs de WordPress de maintenir leur logiciel de site Web \u00e0 jour, de supprimer les plugins et les th\u00e8mes inutilis\u00e9s et d’utiliser des mots de passe d’administrateur WordPress forts.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Les d\u00e9couvertes surviennent des semaines apr\u00e8s que l’unit\u00e9 42 de Palo Alto Networks a d\u00e9couvert un programme malveillant similaire. Campagne d’injection JavaScript<\/a> qui redirige les visiteurs du site vers des pages de logiciels publicitaires et d’arnaques. Plus de 51 000 sites Web ont \u00e9t\u00e9 touch\u00e9s depuis 2022.<\/p>\n L’activit\u00e9, qui utilise \u00e9galement String.fromCharCode comme technique d’obscurcissement, conduit les victimes vers des pages pi\u00e9g\u00e9es qui les incitent \u00e0 activer les notifications push en se faisant passer pour un faux contr\u00f4le CAPTCHA pour diffuser un contenu trompeur.<\/p>\n “Le code JS malveillant inject\u00e9 a \u00e9t\u00e9 inclus sur la page d’accueil de plus de la moiti\u00e9 des sites Web d\u00e9tect\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs de l’Unit\u00e9 42. a dit<\/a>. “Une tactique courante utilis\u00e9e par les op\u00e9rateurs de la campagne consistait \u00e0 injecter du code JS malveillant sur les noms de fichiers JS fr\u00e9quemment utilis\u00e9s (par exemple, jQuery) qui sont susceptibles d’\u00eatre inclus sur les pages d’accueil des sites Web compromis.”<\/p>\n “Cela aide potentiellement les attaquants \u00e0 cibler les utilisateurs l\u00e9gitimes du site Web, car ils sont plus susceptibles de visiter la page d’accueil du site Web.”<\/p>\n <\/p>\n![\"Wordpress\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1681129089_317_Plus-dun-million-de-sites-WordPress-infectes-par-la-campagne.png\" "\\"Wordpress\\"\/")
<\/div>\n