هکرها در جست‌وجوی میلیون‌ها سیستم مدیریت محتوای وردپرس

 
 
در برخی از وب‌سایت‌های با سیستم مدیریت محتوای وردپرس، از پوسته‌هایی استفاده  شده که  وجود آسیب‌پذیری‌های در آنها وردپرس منجر به تسلط کامل نفوذگر به سایت می‌شود و از این رو لازم است پوسته آسیب‌پذیر در وب‌سایت به‌روزرسانی شود.
 
 نفوذگران ناشناس در حال بررسی فضای وب، جهت شناسایی وب‌سایت‌هایی با سیستم مدیریت محتوای وردپرس هستند که در پوسته‌ی (Theme) آن‌ها از Epsilon Framework استفاده شده است. این پوسته‌ها که در بیش از ۱۵۰ هزار سایت نصب شده‌اند و در معرض حملات Function Injection قرار دارد که اکسپلویت  آسیب‌پذیری‌های این پوسته‌های وردپرس منجر به تسلط کامل نفوذگر به سایت می‌شود.
 
تاکنون بیش از ۷.۵ میلیون مورد حمله با هدف اکسپلویت آسیب‌پذیری این پوسته‌های وردپرس، از بیش از ۱۸ هزار آدرس IP مختلف، به حدود ۱.۵ میلیون وب‌سایت وردپرسی، صورت گرفته است.
 
حمله گسترده‌ در حال وقوع علیه سایت‌های وردپرسی، آسیب‌پذیری‌های که اخیرا وصله شدند را هدف قرار داده است‌. با وجود اینکه آسیب‌پذیری‌ها از نوع اجرای کد از راه دور هستند و مهاجم می‌تواند اختیار کل سیستم را در دست بگیرد، تاکنون بیشتر حملات با هدف شناسایی سایت دارای پوسته آسیب‌پذیر صورت گرفته‌اند و هدف مهاجمان اکسپلویت آسیب‌پذیری نبوده است.
 
درصورتی که در وب‌سایت از یکی از این پوسته‌های آسیب‌پذیر استفاده شده باشد، باید هرچه سریع‌تر پوسته آسیب‌پذیر در وب‌سایت به‌روزرسانی شود. همچنین اگر وصله‌ای برای پوسته آسیب‌پذیر وجود نداشته باشد، باید پوسته وردپرس تغییر یابد.
 

حمله به سایت های وردپرس با سوءاستفاده از پلاگین های معیوب

میلیون ها سایت که از سیستم مدیریت محتوای وردپرس استفاده می کنند، به علت نقص امنیتی در یک پلاگین مورد حمله هکری قرار گرفته اند.
 
 
 
 به نقل از زد دی نت، آسیب پذیری خطرناکی در یک پلاگین مشهور وردپرس به هکرها امکان داده تا به میلیون ها سایت حمله کنند.
 
بررسی های موسسه امنیتی دیفاینت نشان می دهد مدتی است حمله به سایت های مجهز به سیستم مدیریت محتوای وردپرس رشد تصاعدی داشته و علت این مساله نقص امنیتی در پلاگین مدیریت فایل یا فایل منیجر در وردپرس است. این پلاگین بر روی بیش از ۷۰۰ هزار سایت نصب شده است.
 
مهاجمان با سوءاستفاده از نقص این پلاگین می توانند فایل های مخرب و معیوب را بر روی سایت های مختلف ارسال کنند و سپس از آنها برای سرقت اطلاعات مدنظر خود بهره بگیرند. هنوز مشخص نیست نقص در پلاگین یادشده منجر به سرقت چه حجم از اطلاعات شده و چه سایت هایی قربانی بوده اند.
 
از جمله تبعات این حملات می توان به راه اندازی شبکه های بوت نت، کنترل کامل سایت های معیوب و دستکاری ظاهر آنها اشاره کرد. شرکت دیفیانت می گوید بیش از ۱.۷ میلیون حمله را که قرار بود با سوءاستفاده از این حفره امنیتی انجام شود، شناسایی و دفع کرده است.
 

وب‌سایت‌های وردپرس هدف حمله هستند

۱.۳میلیون وب‌سایت وردپرس توسط یک کمپین مورد حمله قرار گرفته‌اند. مهاجمان سعی دارند با دانلود کردن یک فایل پیکربندی، نام کاربری و گذرواژه وب‌سایت‌ها را سرقت کنند.
 
به نقل از مرکز ماهر، از ۲۹ تا ۳۱ ماه می سال جاری، دیوار آتش وردفنس ۱۳۰ میلیون حمله روی وب‌سایت‌های وردپرس را شناسایی و مسدود کرده است. این حملات ۱.۳ میلیون وب‌سایت را هدف گرفته اند. گفته شده است که کاربران نسخه پرمیوم و نسخه رایگان فایروال وردفنس (wordfence) در برابر این حمله مصون هستند.
 
وردپرس نرم‌افزاری تحت وب است که از آن برای ساختن سرویس وبلاگ دهی و وبسایت استفاده می شود.
 
در این مدت حملات دیگری نیز روی ‫آسیب‌پذیری‌های افزونه‌ها و تم‌های وردپرس صورت گرفته و حملات این کمپین ۷۵ درصد کل چنین حملاتی را تشکیل می‌دادند. مهاجمانی که این کمپین را اداره می‌کنند، در اواخر ماه آوریل نیز در کمپین دیگری به دنبال سوءاستفاده از آسیب‌پذیری‌های XSS وردپرس بودند.
 
در کمپین قبلی، از ۲۰ هزار IP مختلف برای حمله استفاده می‌شد و در کمپین جدید نیز اکثر حملات با استفاده از همین IPها صورت گرفته‌اند. در حملات اخیر، یک میلیون وب‌سایت جدید نیز مورد هجوم واقع شده‌اند که جزء اهداف کمپین قبلی نبوده‌اند.
 
در هر دو کمپین، تقریباً تمام حملات، از آسیب‌پذیری‌های قدیمی استفاده می‌کردند که در افزونه‌ها یا تم‌های به‌روز نشده وردپرس وجود دارند. این آسیب‌پذیری‌ها امکان export یا دانلود کردن فایل‌ها را فراهم می‌کنند.
 
در کمپین جدید مهاجمان قصد دانلود فایل wp-config.php را داشتند. این فایل حاوی گذرواژه و اطلاعات اتصال به پایگاه داده است و همچنین شامل کلیدهای یکتا و saltهای احراز هویت است. اگر مهاجمی به این فایل دسترسی پیدا کند می‌تواند به پایگاه داده وب‌سایت که شامل محتویات وب‌سایت و مشخصات کاربران آن است، دست یابد.
 
به نظر می‌رسد مهاجمان به طور سیستماتیک کدهای بهره‌برداری را از وب‌سایت exploit-db.com و سایر منابع استخراج و آنها را روی لیستی از وب‌سایت‌ها اجرا می‌کنند. در حال حاضر مهاجمان مشغول استفاده از صدها آسیب‌پذیری هستند، اما آسیب‌پذیری‌های CVE-۲۰۱۴-۹۷۳۴، CVE-۲۰۱۵-۹۴۰۶، CVE-۲۰۱۵-۵۴۶۸ و CVE-۲۰۱۹-۹۶۱۸ جزء موارد با بیشترین استفاده بوده‌اند.
 
مرکز ماهر تاکید کرد: اگر وب‌سایت شما مورد حمله واقع شده باشد، می‌توانید اثرات آن را در فایل لاگ سرور خود مشاهده کنید.
 
در فایل لاگ به دنبال مدخل‌هایی بگردید که قسمت query آنها شامل wp-config بوده و پاسخ آنها کد ۲۰۰ است.
 
مرکز ماهر لیست ۱۰ آدرسی که بیشترین حملات از آنها صورت گرفته را منتشر کرده است.
 
این مرکز تاکید کرد: وب‌سایت‌هایی که از وردفنس استفاده می‌کنند در برابر این حملات مصون هستند. اگر از کاربران وردفنس نیستید و احتمال می‌دهید مورد حمله واقع شده باشید، گذرواژه پایگاه داده، کلیدها و saltهای احراز هویت را تغییر دهید. برای ایجاد این تغییرات ممکن است نیاز باشد تا با هاستینگ وب‌سایت خود تماس بگیرید. در ضمن برای جلوگیری از حملات، همه افزونه‌ها و تم‌های وردپرس را به‌روز نگه دارید.
 
از این رو اگر سرور شما طوری پیکربندی شده است که اجازه دسترسی از راه دور را به پایگاه داده می‌دهد، مهاجم با داشتن گذرواژه پایگاه داده می‌تواند به راحتی کاربر مدیر جدید اضافه کند، داده‌های حساس را سرقت کند یا کل وب‌سایت را پاک کند.
 
در صورتی که امکان دسترسی از راه دور به پایگاه داده فراهم نباشد نیز، ممکن است مهاجم با داشتن کلیدها و saltهای احراز هویت بتواند سایر مکانیزم‌های امنیتی را دور بزند.
 
 

کشف کلاهبرداری جدید در وب‌سایت‌های وردپرس

مرکز ماهر نسبت به کشف کلاهبرداری های الکترونیکی جدید در وب‌سایت‌های وردپرس ( WordPress ) به دلیل وجود ضعف امنیتی در سیستم‌های پرداختی هشدار داد.
 
به نقل از مرکز ماهر، حملات کلاهبرداری تجارت الکترونیک به یک مشکل اساسی در سه سال گذشته تبدیل شده و شرکت‌های تجاری بزرگی که از بستر Magento استفاده می‌کنند توسط یک بدافزار به نام Magecart که مبالغ هنگفتی را از آن خود کرده است، آسیب دیده‌اند.
 
هدف این نوع حمله، سوءاستفاده از ضعف امنیتی برای تزریق کد مخرب در سیستم‌های پرداختی و به‌دست آوردن اطلاعات کارت اعتباری زمان واردکردن آن‌ها توسط مشتری است.
 
مشتریان، محصولات یا خدماتی که برای آنها هزینه پرداخت کرده‌اند را دریافت می‌کنند، در حالی که در پس‌زمینه جنایتکاران داده‌های لازم را به‌منظور کلاهبرداری کارت ضبط کرده‌اند.
 
این حملات معمولاً تا زمانی که قربانی دارنده‌ کارت شکایتی نکند، شناسایی نمی‌شود.
 
کارشناسان شرکت امنیتی Sucuri، یک نرم‌افزار جدید کلاهبرداری الکترونیکی کشف کردند که با بدافزارهای مشابه مورد استفاده در حملات Magecart متفاوت است.
 
این نرم‌افزار جدید کلاهبرداری، در حمله به فروشگاه الکترونیکی مستقر در WordPress با سوءاستفاده از آسیب‌پذیری‌های افزونه‌ WooCommerce به کار گرفته می‌شود. مهاجمان در این حملات از کد جاوااسکریپت مخرب مخفی درون سیستم‌فایل استفاده می‌کنند و اطلاعات پرداختی درون تنظیمات افزونه‌ WooCommerce را تغییر می‌دهند.
 
اغلب تزریق‌های کد جاوااسکریپت، در انتهای فایل قانونی /wp-includes/js/jquery/jquery.js است (روش مؤثری که کشف آن برای مدافعان آسان است)؛ اما در این حمله‌ جدید، کد جاوااسکریپت قبل از انتهای jQuery.noConflict تزریق شده است.
 
بخشی از اسکریپتی که اطلاعات کارت را ضبط می‌کند، در فایل «./wp-includes/rest-api/class-wp-rest-api.php» تزریق شده است. سپس این اسکریپت از تابع قانونی legal_put_contents برای ذخیره‌سازی آن‌ها در دو فایل تصویری مجزا (یک فایل PNG و یک فایل JPEG) که در شاخه‌ wp-content/uploads نگهداری می‌شوند، استفاده می‌کند. این بدافزار مخرب جزئیات پرداخت را جمع‌آوری می‌کند و شماره کارت و کد امنیتی CVV را به صورت ابرمتن در قالب کوکی ذخیره می‌کند.
 
در زمان تجزیه و تحلیل، هیچ یک از این دو فایل حاوی اطلاعات سرقتی نبوده‌اند؛ شرایطی که نشان می‌دهد پس از به‌دست آوردن اطلاعات توسط مهاجمان، این بدافزار دارای قابلیت پاکسازی خودکار فایل‌ها است.
 
همانطور که در بدافزارهای PHP معمول است، از چندین لایه رمزگذاری و الحاق در تلاش برای جلوگیری از شناسایی‌شدن و پنهان کردن کد اصلی آن از یک مدیر وب مستر استفاده می‌شود. تنها نشانه‌ بارز این حمله بر سیستم مدیریت محتوای WordPress این بود یک فایل PHP جهت تضمین بارگذاری‌شدن کد مخرب اضافه شده بود.
 
اگر این حملات علیه سایت‌های تجارت الکترونیک کوچکتر باشد، معمولاً تغییر اطلاعات پرداختی و ارسال سرمایه به یک حساب کاربری مخرب، آسان‌تر است.
 
متأسفانه هنوز مشخص نیست که مهاجمان چگونه در مرحله‌ اول وارد سایت شده‌اند، اما به احتمال زیاد از طریق به خطر انداختن حساب کاربری مدیر یا با سوءاستفاده از یک آسیب‌پذیری نرم‌افزار در WordPress یا WooCommerce این امر میسر شده است.
 
تمامی فروشگاه‌های تجارت الکترونیک نیاز به دفاع دقیقی دارند. WooCommerce این کار را از طریق تغییر در نام‌کاربری پیش‌فرض WordPress که admin بوده است به چیزی که حدس آن برای مهاجمان دشوار است و همچنین با استفاده از یک گذرواژه قوی، انجام داده است.
 
علاوه بر تنظیمات امنیتی خاص مانند محدودکردن تلاش برای ورود به سیستم و استفاده از احراز هویت دوعاملی، به‌روزرسانی WordPress و افزونه WooCommerce هم مهم است.
 
همچنین متخصصان Sucuri به مدیران وب‌سایت‌های WordPress توصیه می‌کنند که ویرایش مستقیم فایل را برای wp-admin با اضافه‌کردن خط define ( ‘DISALLOW_FILE_EDIT’, true ); به فایل wp-config.php، غیرفعال کنند.

۷۰۰ هزار وبسایت در معرض تهدید سایبری قرار گرفتند

 
 
۷۰۰ هزار وب سایت در معرض خطر ناشی از وجود آسیب‌پذیری در افزونه‌ GDPR Cookie Consent وردپرس قرار دارند.
 
 وردپرس نرم‌افزاری تحت وب است که می‌توان از آن برای ساختن وب سایت و سرویس وبلاگ استفاده کرد.
 
بررسی گروه های امنیتی نشان می دهد که افزونه‌ ای از WordPress به لیست افزونه‌هایی که دارای نقص‌های امنیتی تهدیدآمیز هستند، پیوسته است. این بار، این آسیب‌پذیری در افزونه‌ GDPR Cookie Consent ظاهر شده است و یکپارچگی ۷۰۰ هزار وب سایت را به خطر انداخته است.
 
طبق گزارشات، محققی به نام Jerome Bruandet، یک آسیب‌پذیری جدی در افزونه‌ GDPR Cookie Consent کشف کرده است. GDPR Cookie Consent به کاربران در ساخت سایت مطابق با GDPR کمک می‌کند. با در نظر گرفتن ۷۰۰ هزار نصب از این افزونه، این نقص می‌تواند هزاران وب‌سایت را در معرض خطر قرار دهد.
 
این آسیب‌پذیری، یک نقص بحرانی تزریق اسکریپت مخرب در افزونه‌ GDPR Cookie Consent است که ناشی از کنترل نامناسب دسترسی در نقطه‌پایانی (endpoint) استفاده‌شده در افزونه‌ AJAX API (یک روش توسعه‌ وب برای ساخت برنامه‌های کاربردی تحت وب) وردپرس است.
 
نقطه‌پایانی، یک روش «-construct» درون افزونه است که برای کد مقداردهی اولیه‌ اشیایی که به تازگی ایجاد شده‌اند، مورد استفاده قرار می‌گیرد. پس از آنکه فعالیت‌ها ایجاد شدند، از طریق AJAX به روش «-construct» ارسال می‌شود. این فرایند در پیاده‌سازی بررسی‌ها شکست می‌خورد.
 
به همین دلیل، نقطه‌پایانی AJAX به گونه‌ای در نظر گرفته شده است که تنها برای مدیران قابل دسترسی باشد، به کاربران سطح مشترک (یک نقش کاربر در وردپرس با قابلیت‌های بسیار محدود) نیز اجازه دهد تعدادی فعالیت که امنیت سایت را به مخاطره می‌اندازد، انجام دهند.
 
این نقص از نظر شدت، بحرانی رتبه‌بندی شده و دارای امتیاز CVSS ۹.۰ از ۱۰ است.
 
یم تحقیقاتی WordFence نیز وجود این نقص را پس از آنکه تیم توسعه‌ این افزونه، آن را برطرف ساخت، تأیید کرده است.
 
Bruandet در تاریخ ۲۸ ژانویه سال ۲۰۲۰، توسعه‌دهندگان این افزونه را از وجود آسیب‌پذیری در آن مطلع ساخت.
 
نسخه‌های ۱.۸.۲ و پیش از آن افزونه‌ GDPR Cookie Consent، تحت‌تأثیر این آسیب‌پذیری قرار گرفته‌اند.
 
توسعه‌دهندگان این افزونه، با انتشار نسخه‌ ۱.۸.۳، یک هفته پس از افشای این نقص، آن را وصله کرده‌اند. کاربران باید با به‌روزرسانی این افزونه به آخرین نسخه، مانع از سوءاستفاده‌های بالقوه شوند.

۲ هزار سایت وردپرسی آلوده به بدافزار شدند

 
 
بیش از ۲ هزار وب‌سایت ‫وردپرس آلوده به جاوااسکریپت مخربی هستند که بازدیدکنندگان سایت را به وب‌سایت‌های تقلبی هدایت می‌کنند و شرایطی فراهم می‌سازند که بعدا بدافزار بیشتری دانلود شود.
 
دسترسی به وب‌سایت‌های وردپرس از طریق سوءاستفاده از آسیب‌پذیری‌های پلاگین‌های مختلفی همچون Simple Fields و CP Contact Form با PayPal حاصل می‌شود.
 
اوج این فعالیت‌های مخرب در هفته‌ سوم ماه ژانویه سال ۲۰۲۰ روی داده است.
 
پس از ورود به سایت وردپرس، ابتدا جاوااسکریپت، بازدیدکننده را به ۴ وب‌سایت مخرب gotosecond۲[.]com، adsformarket[.]com، admarketlocation[.]com و admarketlocation[.]com هدایت می‌کند.
 
سپس لینک statistic[.]admarketlocation[.]com/clockwork?&se_referrer= یا track[.]admarketresearch[.]xyz/?track&se_referrer= در سایت WordPress بارگذاری می‌شود تا خرابکاری نهایی جاوااسکریپت مخرب را ارائه دهد.
 
این اقدام آخر بسیار مشکل‌ساز است، زیرا به مهاجم اجازه می‌دهد تغییرات بیشتری در سایت ایجاد کند یا بدافزار بیشتری همچون درب‌پشتی‌های PHP و ابزار هک را جهت کمک به حفظ پایداری‌شان وارد کند.
 
همچنین مشاهده شده است که مهاجمان از ویژگی‌های /wp-admin/ برای ساخت دایرکتورهای جعلی پلاگین که شامل بدافزار بیشتری است سوءاستفاده می‌کنند.
 
رایج‌ترین دایرکتورهای جعلی پلاگین که توسط محققان کشف شده‌اند عبارت از /wp-content/plugins/supersociall//supersociall.php و wp-content/plugins/blockspluginn/blockspluginn.php می شود.
 
مرکز ماهر به صاحبان وب‌سایت‌ها توصیه کرده که تغییر پوشه‌های اصلی را غیرفعال سازند؛ این امر مانع از درج فایل‌های مخرب توسط هکرها می‌شود، یا بخشی از سخت‌افزاری‌کردن امنیت وردپرس و بهترین روش امنیتی را به کار گیرند.

۲ هزار سایت وردپرسی آلوده به بدافزار شدند

 
 
بیش از ۲ هزار وب‌سایت ‫وردپرس آلوده به جاوااسکریپت مخربی هستند که بازدیدکنندگان سایت را به وب‌سایت‌های تقلبی هدایت می‌کنند و شرایطی فراهم می‌سازند که بعدا بدافزار بیشتری دانلود شود.
 
دسترسی به وب‌سایت‌های وردپرس از طریق سوءاستفاده از آسیب‌پذیری‌های پلاگین‌های مختلفی همچون Simple Fields و CP Contact Form با PayPal حاصل می‌شود.
 
اوج این فعالیت‌های مخرب در هفته‌ سوم ماه ژانویه سال ۲۰۲۰ روی داده است.
 
پس از ورود به سایت وردپرس، ابتدا جاوااسکریپت، بازدیدکننده را به ۴ وب‌سایت مخرب gotosecond۲[.]com، adsformarket[.]com، admarketlocation[.]com و admarketlocation[.]com هدایت می‌کند.
 
سپس لینک statistic[.]admarketlocation[.]com/clockwork?&se_referrer= یا track[.]admarketresearch[.]xyz/?track&se_referrer= در سایت WordPress بارگذاری می‌شود تا خرابکاری نهایی جاوااسکریپت مخرب را ارائه دهد.
 
این اقدام آخر بسیار مشکل‌ساز است، زیرا به مهاجم اجازه می‌دهد تغییرات بیشتری در سایت ایجاد کند یا بدافزار بیشتری همچون درب‌پشتی‌های PHP و ابزار هک را جهت کمک به حفظ پایداری‌شان وارد کند.
 
همچنین مشاهده شده است که مهاجمان از ویژگی‌های /wp-admin/ برای ساخت دایرکتورهای جعلی پلاگین که شامل بدافزار بیشتری است سوءاستفاده می‌کنند.
 
رایج‌ترین دایرکتورهای جعلی پلاگین که توسط محققان کشف شده‌اند عبارت از /wp-content/plugins/supersociall//supersociall.php و wp-content/plugins/blockspluginn/blockspluginn.php می شود.
 
مرکز ماهر به صاحبان وب‌سایت‌ها توصیه کرده که تغییر پوشه‌های اصلی را غیرفعال سازند؛ این امر مانع از درج فایل‌های مخرب توسط هکرها می‌شود، یا بخشی از سخت‌افزاری‌کردن امنیت وردپرس و بهترین روش امنیتی را به کار گیرند.