Хакерите започнаа масовни напади користејќи застарени WordPress додатоци

Широка кампања за експлоатација ја таргетира WordPress веб-страниците со додатоците GutenKit и Hunk Companion, кои се ранливи на критични безбедносни проблеми од стари верзии и кои можат да се искористат за далечинско извршување на код (RCE).

WordPress безбедносната компанија Wordfence соопшти дека блокирала 8,7 милиони обиди за напади врз своите корисници само за два дена, на 8 и 9 октомври.

Кампањата ги експлоатира трите слабости, следени како CVE-2024-9234, CVE-2024-9707 и CVE-2024-11972, сите оценети како критични (CVSS 9.8).

CVE-2024-9234 е ранливост во REST-endpoint на GutenKit додатокот со 40.000 инсталации, која овозможува инсталирање на произволни додатоци без автентикација.

CVE-2024-9707 и CVE-2024-11972 се ранливости поради недостиг на авторизација во themehunk-import REST endpoint на Hunk Companion додатокот (8.000 инсталации), кои исто така можат да доведат до инсталирање на произволни додатоци.

Автентициран напаѓач може да ги искористи овие ранливости за да воведе друг ранлив додаток кој овозможува далечинско извршување на код.

• CVE-2024-9234 влијае на GutenKit 2.1.0 и претходните верзии
• CVE-2024-9707 влијае на Hunk Companion 1.8.4 и постарите верзии
• CVE-2024-11972 влијае на Hunk Companion 1.8.5 и претходните верзии

Поправките за трите ранливости станаа достапни во GutenKit 2.1.1, објавен во октомври 2024, и Hunk Companion 1.9.0, објавен во декември 2024. Сепак, и покрај тоа што производителот ги поправил пред скоро една година, многу веб-страници сè уште користат ранливи верзии.

Набљудувањата на Wordfence, базирани на податоците од нападите, покажуваат дека истражувачите велат дека напаѓачите хостираат на GitHub злонамерен додаток во .ZIP архив наречен ‘up’.

Архивата содржи обфусцирани скрипти кои овозможуваат отпремање, преземање и бришење на датотеки, како и менување на дозволи. Една од скриптите, заштитена со лозинка и маскирана како компонент на додатокот All in One SEO, се користи за автоматско најавување на напаѓачот како администратор.

Напаѓачите ги користат овие алатки за одржување на перзистентност, кражба или поставување датотеки, извршување команди или прислушкување на приватни податоци кои се обработуваат на сајтот.

Кога напаѓачите не можат директно да пристапат до целосен администраторски бекдор преку инсталираниот пакет, тие често инсталираат ранлив ‘wp-query-console’ додаток кој може да се искористи за неавтентицирано далечинско извршување на код (RCE).

Wordfence наведе неколку IP-адреси кои генерираат големи обеми на овие злонамерни барања, што може да помогне при создавање на одбрани против овие напади.

Како индикатор за компромитирање, истражувачите велат дека администраторите треба да ги следат барањата /wp-json/gutenkit/v1/install-active-plugin и /wp-json/hc/v1/themehunk-import во логовите на пристап до сајтот.

Тие исто така треба да ги проверат директориумите /up, /background-image-cropper, /ultra-seo-processor-wp, /oke и /wp-query-console за какви било несакани елементи.

Се препорачува администраторите да ги одржуваат сите додатоци на своите веб-страници ажурирани на најновата верзија достапна од производителот.

Извори:

• Bleeping Computer  – „Hackers launch mass attacks exploiting outdated WordPress plugins“ .Bleeping Computer