WordPress siteleri, Netsupport sıçanını ve RaccoonStealer şifre çalma Truva atını yükleyen kötü amaçlı yazılımları dağıtmak için sahte Cloudflare DDOS koruma sayfalarını görüntülemek için hackleniyor.
DDO'lar (Dağıtılmış Hizmet Reddetme) Koruma ekranları internette yaygındır, siteleri sahte isteklerle ping atan botlardan korur ve çöp trafiğiyle boğmayı amaçlar.
İnternet kullanıcıları, bu "hoş geldiniz ekranlarına" en sevdikleri çevrimiçi kaynakları kötü amaçlı operatörlerden koruyan kaçınılmaz bir kısa vadeli sıkıntı olarak görüyorlar. Ne yazık ki, bu aşinalık kötü amaçlı yazılım kampanyaları için mükemmel bir fırsat olarak hizmet ediyor.
Sucuri'nin bir raporunda ayrıntılı olarak açıklandığı gibi, tehdit aktörleri, sahte bir Cloudflare Koruma DDOS ekranı görüntüleyen ağır bir şekilde şaşkın bir JavaScript yükü eklemek için kötü korunan WordPress sitelerini hackliyor.
Aşağıda gösterilen bu ekran, ziyaretçinin DDOS koruma ekranını atlamak için bir düğmeyi tıklamasını ister. Ancak, düğmeye tıklamak bilgisayara bir 'Security_install.iso' dosyasını indirir ve bu da DDOS doğrulamasını atlamak için gerekli bir araç gibi davranır.
Mağdurlara daha sonra DDOS Guard adlı bir uygulama gibi davrandıkları Security_install.iso'yu açmaları ve gösterilen kodu girmeleri söylenir.
Bir kullanıcı Security_install.iso'yu açtığında, aslında Debug.txt dosyasından bir PowerShell komutunu çalıştıran bir Windows kısayolu olan Security_install.exe adlı bir dosya görürler.
Nihayetinde, bu, siteyi görüntülemek için gereken sahte DDOS kodunu görüntüleyen bir komut dosyası zincirinin çalıştırılmasına ve günümüzde kötü niyetli kampanyalarda yaygın olarak kullanılan bir uzaktan erişim Truva atı olan Netsupport sıçanını yüklemesine neden olur.
Ayrıca, komut dosyaları Raccoon Stealer şifre çalan Trojan'ı indirecek ve cihazda başlatacak.
Raccoon Stealer bu yıl Haziran ayında, yazarlarının ikinci büyük sürümünü yayınladığı ve bir abonelik modeli altında siber suçlulara sunduğu operasyonlara geri döndü.
Raccoon 2.0, şifreleri, çerezleri, otomatik doldurma verilerini ve web tarayıcılarına kaydedilen kredi kartlarını, çok çeşitli kripto para cüzdanlarını hedefler ve ayrıca dosya eksfiltrasyonu gerçekleştirebilir ve kurbanın masaüstünün ekran görüntülerini alabilir.
Yöneticiler WordPress sitelerinin tema dosyalarını kontrol etmelidir, Sucuri'ye göre bu, bu kampanyadaki en yaygın enfeksiyon noktasıdır.
Ayrıca, bu JS enjeksiyonlarını gerçekleştikleri gibi yakalamak ve sitenizin bir sıçan dağıtım noktası olmasını önlemek için dosya bütünlüğü izleme sistemlerini kullanmanız tavsiye edilir.
İnternet kullanıcıları, tarayıcılarında katı komut dosyası engelleme ayarlarını etkinleştirerek kendilerini bu tür tehditlerden koruyabilir, ancak bu neredeyse tüm sitelerin işlevselliğini bozacaktır.
Son olarak, ISO dosyalarını indirmenin asla meşru DDOS önleme prosedürlerinin bir parçası olmadığını unutmayın, bu nedenle bunu dikkatsizlikten çıkarsanız bile, içeriğini açmayın veya çalıştırmayın.
Google Blocks En büyük HTTPS DDOS saldırısı 'Bugüne kadar bildirilen'
Kötü niyetli PYPI paketleri, karşı vuruş sunucularında DDOS saldırılarını hedefliyor
Cloudflare çalışanları da Twilio ihlalinin arkasındaki bilgisayar korsanları tarafından vuruldu
Binlerce hacker 'Dark Utilities' C2-Hizmet Olarak Akın
Akamai, müşterilerinden birine karşı Avrupa'daki en büyük DDO'ları engelledi.
Kaynak: Bleeping Computer