Хакери преку Google реклами крадат ManageWP профили

Фишинг кампања доставена преку спонзорирани резултати од пребарување на Google таргетира кориснички податоци за ManageWP, платформата на GoDaddy за управување со повеќе WordPress веб-страници.

Напаѓачот користи „adversary-in-the-middle“ (AitM) пристап, каде што лажната страница за најава функционира како прокси во реално време помеѓу жртвата и легитимната ManageWP услуга.

ManageWP е централизирана платформа за далечинска администрација на WordPress веб-страници, која им овозможува на корисниците да управуваат со повеќе сајтови од еден панел, наместо да се најавуваат на посебни контролни табли. Најчести корисници се веб-развивачи, веб-агенции кои управуваат со сајтови на клиенти и компании.

Истражувачите од Guardio Labs предупредуваат дека лажниот резултат се прикажува над вистинскиот при пребарување на „managewp“, привлекувајќи корисници кои се потпираат на Google за да ја пронајдат адресата за најава на ManageWP.

Корисниците кои ќе кликнат на злонамерниот резултат се пренасочуваат кон страница за најава која изгледа идентично како вистинската. Сепак, сите внесени кориснички податоци се испраќаат во Telegram канал контролиран од напаѓачот.

За разлика од почестите phishing страници кои само ги крадат корисничкото име и лозинката, оваа кампања користи „live AiTM“ поставка, каде напаѓачот ги користи украдените податоци за најава во реално време за да се логира на платформата.

Потоа, жртвата добива лажно барање да го внесе кодот за двофакторска автентикација (2FA), кој напаѓачот го користи за да добие целосен пристап до ManageWP сметката.

Главниот истражувач на Guardio Labs, Nati Tal, изјавил за BleepingComputer дека секоја ManageWP сметка обично содржи стотици веб-страници.

Според статистиките на WordPress.org, приклучокот (plugin) на ManageWP, кој ѝ овозможува на платформата контрола врз регистрираните сајтови, е активен на повеќе од 1 милион веб-страници.

Guardio Labs успеале да се инфилтрираат во командно-контролната (C2) инфраструктура на напаѓачот и забележале систем со паѓачко мени за команди, што овозможува интерактивен и рачно управуван phishing процес.

Тал исто така изјавил дека платформата не изгледа како дел од комерцијално достапен phishing пакет, туку како приватна phishing рамка развиена за ограничена употреба.

Интересно е што истражувачот пронашол вграден договор на руски јазик во кодот, во кој авторот се оградува од одговорност за нелегални активности, наведува дека алатката е само за едукативна/истражувачка употреба и забранува јавно објавување на датотеките од панелот или користење против системи базирани во Русија.

Guardio Labs успеале да приберат податоци за жртвите од напаѓачите и започнале да ги контактираат за да ги предупредат дека нивните податоци биле компромитирани. Истражувачите потврдиле 200 уникатни жртви во моментот на пишување на извештајот.

Извори:

• Bleeping Computer – Hackers abuse Google ads for GoDaddy ManageWP login phishing Bleeping Computer