Gli obiettivi della campagna non sono stati chiari sin da subito, poiché i criminali non sembrano sfruttare i siti Web compromessi per altri scopi malevoli.
Secondo un post sul blog di Defiant, i pirati informatici sfruttano una falla di sicurezza in un plug-in WordPress, dedicato alla conformità con il GDPR, per prendere il controllo di siti Web vulnerabili.
È importante sottolineare che lo sviluppatore del plugin WP GDPR Compliance, ha distribuito una patch che risolve questo problema. Si consiglia agli utenti di questo strumento di aggiornarlo il prima possibile alla versione 1.4.3, o in alternativa di disabilitarlo o rimuoverlo.
Utilizzato da oltre 100.000 siti Web per rispettare i termini del GDPR (General Data Protection Regulation) dell’Unione Europea, dopo la scoperta della vulnerabilità il plug-in è stato rimosso dal repository ufficiale di WordPress, ma è stato ripristinato successivamente al rilascio della nuova versione.
Se non viene adeguatamente aggiornato è possibile sfruttare il plugin per effettuare un’escalation dei privilegi che permetterà ai criminali di utilizzare i siti vulnerabili per una serie di attività illegittime. Non si tratta solo di una minaccia ipotetica, poiché nelle ultime settimane sono stati scoperti numerosi attacchi a siti Web che utilizzano questo strumento.
In effetti, il plugin presentava due bug distinti. Tuttavia, “pur contenendo diversi potenziali exploit all’interno dello stesso blocco di codice ed eseguiti con la stessa payload, la consideriamo come una vulnerabilità di escalation di un singolo privilegio”, come viene riportato nel post del blog. I ricercatori hanno individuato due tipi di attacchi che sfruttano questa falla della sicurezza: uno più semplice e l’altro più complesso.
Come viene spiegato nell’articolo, il primo – e più comune – scenario prevede che gli hacker violino il sistema di registrazione degli utenti su un determinato sito Web per creare nuovi account amministratore, così da ottenerne il controllo completo.
Successivamente, i criminali “chiudono le porte dietro di loro” annullano i cambiamenti nelle impostazioni che gli hanno permesso di accedere al sistema e disattivano la registrazione dell’utente. Tale azione è da considerarsi un tentativo di coprire le proprie tracce e di non destare troppe attenzioni. Proprio in quest’ottica gli hacker attendono qualche ora dall’iniziale violazione per effettuare il login con le loro credenziali da amministratore e installare una backdoor.
Il secondo tipo di attacco è addirittura più difficile da rilevare, infatti in questo caso gli hacker sfruttano la vulnerabilità per alterare lo strumento di pianificazione delle attività di WordPress, chiamato WP-Cron, e inserirvi dei processi pericolosi in grado di installare delle backdoor e garantirne la persistenza.
Non è chiaro a questo punto in che modo gli hacker vogliano sfruttare i siti Web compromessi, ma è sicuro che ci saranno conseguenze dannose tra cui l’hosting di siti phishing e la diffusione su larga scala di messaggi spam.
ESET Italia consiglia a tutti gli amministratori di siti WordPress di verificare il plugin in oggetto e di installarne l’ultima versione immediatamente, denunciando eventuali violazioni alle autorità competenti.
Rispondi