Araştırmacıların Balad Enjektör adlı bir Linux arka kapısını enjekte etmek için "bilinen ve yakın zamanda keşfedilen tema ve eklenti güvenlik açıklarını" kullanan uzun süreli bir kampanya sırasında tahmini bir milyon WordPress web sitesi tehlikeye atılmıştır.
Kampanya 2017'den beri devam ediyor ve çoğunlukla sahte teknoloji destek sayfalarına, hileli piyango galibiyetlerine ve bildirim dolandırıcılıklarına yönlendirmeyi amaçlıyor.
Web sitesi güvenlik şirketi Sucuri'ye göre, Balad enjektör kampanyası, Dr. Web'in Aralık 2022'de birkaç eklenti ve temalarda bilinen kusurlardan bir arka kapı dikmek için bildirdiği kampanyadır.
Sucuri, Balada enjektörünün ayda bir kez meydana gelen dalgalara saldırdığını, her biri engelleme listelerinden kaçmak için yeni kayıtlı bir alan adı kullandığını bildirdi.
Genellikle, kötü amaçlı yazılım yeni açıklanan güvenlik açıklarından yararlanır ve hedeflediği kusur etrafında özel saldırı rutinleri geliştirir.
Sucuri tarafından gözlemlenen enjeksiyon yöntemleri tüm bu zamanlarda siteurl hack'leri, HTML enjeksiyonları, veritabanı enjeksiyonları ve keyfi dosya enjeksiyonları içerir.
Bu çok sayıda saldırı vektörü, daha sonraki dalgalar zaten tehlikeye atılmış alanları hedefleyen yinelenen site enfeksiyonları da yarattı. Sucuri, Balada'nın 11 farklı versiyonuyla 311 kez saldırıya uğrayan bir site vakasını vurgular.
Balada’nın komut dosyaları, wp-config.php dosyalarından veritabanı kimlik bilgileri gibi hassas bilgileri yaymaya odaklanır, bu nedenle site sahibi bir enfeksiyonu temizler ve eklentilerini yamalar olsa bile, tehdit oyuncusu erişimini sürdürür.
Kampanya ayrıca yedek arşivler ve veritabanları, erişim günlükleri, hata ayıklama bilgileri ve hassas bilgiler içerebilecek dosyalar arar. Sucuri, tehdit aktörünün sık sık hedeflenen dosyaların listesini yenilediğini söylüyor.
Ayrıca, kötü amaçlı yazılım, Adminer ve PhpmyAdmin gibi veritabanı yönetim araçlarının varlığını arar. Bu araçlar savunmasız veya yanlış yapılandırılmışsa, yeni yönetici kullanıcıları oluşturmak, siteden bilgi çıkarmak veya veritabanına kalıcı kötü amaçlı yazılım enjekte etmek için kullanılabilirler.
Bu düz ihlal yolları kullanılamıyorsa, saldırganlar 74 kimlik bilgisini deneyerek yönetici şifresini zorlamaya yönelir.
Balada enjektörü, saldırganlar için gizli erişim noktaları görevi gören artıklık için uzlaşmış WordPress sitelerine birden fazla arka kapıya sahiptir.
Sucuri, 2020'de bir noktada Balada'nın geri çekilmeleri 176 önceden tanımlanmış yola bıraktığını ve arka kapının tamamen kaldırılmasını çok zorlaştırdığını bildirdi.
Ayrıca, ekilen arka fırınların isimleri, web sitesi sahipleri için tespit ve kaldırma işlemini daha zor hale getirmek için her kampanya dalgasında değişti.
Araştırmacılar, Balada enjektörlerinin güvenliği ihlal edilen her sitede bulunmadığını söylüyor, çünkü müşterilerin büyük bir sayısı yönetmek zor bir zorluk olacaktır. Bilgisayar korsanlarının kötü amaçlı yazılımları "uygun şekilde yönetilmeme veya ihmal edilmemenin belirtileri gösteren özel veya sanal özel sunuculara barındırılan" web sitelerine yüklediğine inanıyorlar.
Oradan, enjektörler aynı sunucu hesabını ve dosya izinlerini paylaşan web sitelerini tarar ve siteler arası enfeksiyonlar gerçekleştirmek için daha yüksek ayrı dizinlerden başlayarak yazılabilir dizinler arar.
Bu yaklaşım, tehdit aktörlerinin bir seferde birkaç siteyi kolayca tehlikeye atmalarını ve enjektörü yönetmek zorunda kalırken hızlı bir şekilde arka fırını yaymalarını sağlar.
Ayrıca, bölgeler arası enfeksiyonlar, VPS'ye erişim sağlandığı sürece, saldırganların temizlenmiş alanları tekrar tekrar enfekte etmelerini sağlar.
Sucuri, Balada enjektör saldırılarına karşı savunmanın bir vakadan diğerine farklı olabileceğini ve çok çeşitli enfeksiyon vektörleri nedeniyle yöneticilerin tehdidi uzak tutmak için izleyebileceği özel bir dizi talimat olmadığını belirtiyor.
Ancak, Sucuri'nin genel WordPress kötü amaçlı yazılım temizleme kılavuzları, denemelerin çoğunu engellemek için yeterli olmalıdır.
Tüm web sitesi yazılımlarını güncel tutmak, güçlü, benzersiz şifreler kullanarak, iki faktörlü kimlik doğrulama uygulamak ve dosya bütünlük sistemleri eklemek, siteleri uzlaşmaya karşı korumak için yeterince iyi çalışmalıdır.
Hackerlar Elementor Pro WordPress eklentisinde BUGU BUGU
Wordpress Houzez temasında kritik kusurlar, kamyonet web siteleri için sömürüldü
Bilgisayar korsanları, 2FA'yı atlamak için Rilide tarayıcı uzantısını kullanır, kripto çal
Typhon Info-Destekar Kötü Yazılım Devs Yükseltme Kaçınma Yetenekleri
Yeni Karanlık Web Pazarı Styx Finansal Sahtekarlık Hizmetlerine Odaklanıyor
Kaynak: Bleeping Computer