WordPress siteleri, bilgi çalma kötü amaçlı yazılımlarını zorlamak için sahte yazılım güncellemeleri ve hatalar görüntüleyen kötü niyetli eklentiler yüklemek için hackleniyor.
Geçtiğimiz birkaç yıl boyunca, bilgi çalan kötü amaçlı yazılımlar, ağları ihlal etmek ve veri çalmak için çalınan kimlik bilgileri kullanıldığından dünya çapında güvenlik savunucularına bir bela haline geldi.
2023'ten bu yana, ClearFake adlı kötü niyetli bir kampanya, bilgi çalma kötü amaçlı yazılımları dağıtan tehlikeye atılmış web sitelerinde sahte web tarayıcısı güncelleme pankartlarını görüntülemek için kullanılmıştır.
2024 yılında, ClearFake ile birçok benzerliği paylaşan ancak bunun yerine dahil edilen düzeltmelerle yazılım hata mesajları gibi davranan ClickFix adlı yeni bir kampanya tanıtıldı. Ancak, bu "düzeltmeler", yürütüldüğünde bilgi çalma kötü amaçlı yazılımları indirip yükleyecek PowerShell komut dosyalarıdır.
ClickFix kampanyaları bu yıl giderek yaygınlaştı ve tehdit aktörleri, Google Chrome, Google Meet konferansları, Facebook ve hatta CAPTCHA sayfaları için sahte hatalar gösteren pankartları görüntülemekten ödün veriyor.
Geçen hafta Godaddy, ClearFake/ClickFix tehdit aktörlerinin, bu kampanyalarla ilişkili sahte uyarıları görüntüleyen kötü amaçlı eklentiler kurmak için 6.000'den fazla WordPress sitesini ihlal ettiğini bildirdi.
Godaddy güvenlik araştırmacısı Denis Sinegubko, "GodAddy Güvenlik Ekibi, Bogus WordPress eklentileri aracılığıyla dağıtılan yeni bir ClickFix (ClearFake olarak da bilinir) sahte tarayıcı güncelleme kötü amaçlı yazılımlarını izliyor."
"Görünüşte meşru eklentiler, web sitesi yöneticilerine zararsız görünmek için tasarlanmıştır, ancak son kullanıcılara sahte tarayıcı güncelleme istemleri sunan gömülü kötü niyetli komut dosyaları içerir."
Kötü niyetli eklentiler, WordFense Security ve Litespeed önbelleği gibi meşru eklentilere benzer adları kullanırken, diğerleri jenerik, makyaj adları kullanır.
Haziran ve Eylül 2024 arasında bu kampanyada görülen kötü niyetli eklentilerin listesi:
Web sitesi güvenlik firması Sucuri ayrıca "Universal Popup Eklentisi" adlı sahte bir eklentinin de bu kampanyanın bir parçası olduğunu belirtti.
Yüklendiğinde, kötü amaçlı eklenti, sitenin HTML'sine kötü amaçlı bir JavaScript komut dosyası enjekte etmek için varyant bağlı olarak çeşitli WordPress eylemlerini bağlar.
Yüklendiğinde, bu komut dosyası, bir Binance Akıllı Zincir (BSC) akıllı sözleşmesinde depolanan başka bir kötü amaçlı JavaScript dosyası yüklemeye çalışır ve daha sonra sahte pankartları görüntülemek için ClearFake veya ClickFix komut dosyasını yükler.
Sinegubko tarafından analiz edilen web sunucusu erişim günlüklerinden, tehdit aktörleri WordPress sitesine giriş yapmak ve eklentiyi otomatik bir şekilde yüklemek için çalıntı yönetici kimlik bilgilerini kullanıyor gibi görünüyor.
Aşağıdaki resimden de görebileceğiniz gibi, tehdit aktörleri, sitenin giriş sayfasını ilk kez ziyaret etmek yerine tek bir HTTP isteği aracılığıyla oturum açar. Bu, kimlik bilgileri zaten elde edildikten sonra otomatik bir şekilde yapıldığını gösterir.
Tehdit oyuncusu oturum açtıktan sonra, kötü amaçlı eklenti yükler ve yükler.
Tehdit aktörlerinin kimlik bilgilerini nasıl elde ettikleri belirsiz olsa da, araştırmacı önceki kaba kuvvet saldırıları, kimlik avı ve bilgi çalan kötü amaçlı yazılım yoluyla olabileceğini belirtiyor.
Bir WordPress işlemi iseniz ve ziyaretçilere görüntülenen sahte uyarıların raporları alıyorsanız, derhal yüklü eklentilerin listesini incelemeli ve kendinizi yüklemediğiniz herhangi bir şeyi kaldırmalısınız.
Bilinmeyen eklentiler bulursanız, herhangi bir yönetici kullanıcısı için şifreleri hemen yalnızca sitenizde kullanılan benzersiz bir şifreye sıfırlamanız gerekir.
Jetpack, 2016'dan beri var olan kritik bilgilerin açıklama kusurunu düzeltir
Bilgisayar korsanları Litespeed Cache eklentisinde kritik hatayı kullanıyor
Sahte Google Buluşma Konferansı Hataları İthalat Efsanesi Kötü Yazılım
Automattic, WP motorunun WordPress kaynaklarına erişimini bloke ediyor
Global Infostealer kötü amaçlı yazılım işlemi kripto kullanıcılarını, oyuncuları hedefliyor
Kaynak: Bleeping Computer