Kampanye phishing berskala besar menargetkan pengguna WooCommerce dengan peringatan keamanan palsu yang mendesak mereka untuk mengunduh “tambalan kritis” yang menambahkan backdoor WordPress ke situs.
Penerima yang mengambil umpan dan mengunduh pembaruan sebenarnya menginstal plugin jahat yang membuat akun admin tersembunyi di situs web mereka, mengunduh muatan web shell, dan memelihara akses yang persisten.
Kampanye, yaitu Ditemukan oleh Patchstack peneliti, tampaknya merupakan kelanjutan dari operasi serupa di Akhir 2023 Itu pengguna WordPress yang ditargetkan dengan tambalan palsu untuk kerentanan yang dibuat-buat.
Patchstack mengatakan kedua kampanye menggunakan serangkaian kerang web yang tidak biasa, metode persembunyian muatan yang identik, dan konten email serupa.
Peringatan keamanan palsu
Email yang menargetkan admin WordPress memalsukan plugin e-commerce WooCommerce yang populer, menggunakan alamat ‘bantuan@keamanan-wooCommerce[.]com. ‘
Penerima diberitahu bahwa situs web mereka ditargetkan oleh peretas yang mencoba mengeksploitasi kerentanan ‘akses administratif yang tidak otentikasi’.
Untuk melindungi toko dan data online mereka, penerima disarankan untuk mengunduh tambalan menggunakan tombol tertanam, dengan instruksi langkah demi langkah tentang cara menginstalnya termasuk dalam pesan.
“Kami menghubungi Anda mengenai kerentanan keamanan kritis yang ditemukan di platform WooCommerce pada 14 April 2025,” membaca email phishing.
“Peringatan: Pemindaian keamanan terbaru kami, yang dilakukan pada 21 April 2025, telah mengkonfirmasi bahwa kerentanan kritis ini secara langsung memengaruhi situs web Anda.”
“Kami sangat menyarankan Anda untuk mengambil langkah -langkah mendesak untuk mengamankan toko Anda dan melindungi data Anda,” lanjut email untuk menambah rasa urgensi.
.jpg)
Sumber: Patchstack
Mengklik tombol ‘Unduh Patch’ membawa korban ke situs web yang spoofs wooCommerce, menggunakan wooCommėrce yang sangat menipu[.]domain com yang hanya satu karakter berbeda dari resmi, wooCommerce.com.
Domain jahat menggunakan teknik serangan homograf di mana karakter Lithuania “ė” (U+0117) digunakan sebagai pengganti “e,” sehingga mudah dilewatkan.
.jpg)
Sumber: Patchstack
Aktivitas pasca infeksi
Setelah korban memasang perbaikan keamanan palsu (“Authbypass-update-31297-id.zip”), itu menciptakan cronjob bernama secara acak yang berjalan setiap menit, mencoba membuat pengguna tingkat admin baru.
Selanjutnya, plugin mendaftarkan situs yang terinfeksi melalui permintaan HTTP Get ke ‘WooCommerce-Services[.]com/wpapi, ‘dan mengambil muatan yang dikaburkan tahap kedua.
Ini, pada gilirannya, menginstal beberapa cangkang web berbasis PHP di bawah ‘WP-Content/Uploads/,’ termasuk PAS-Form, P0WNY, dan WSO.
Patchstack berkomentar bahwa cangkang web ini memungkinkan kontrol penuh atas situs dan dapat digunakan untuk injeksi iklan, mengarahkan kembali pengguna ke tujuan berbahaya, meminta server ke botnet DDOS, mencuri informasi kartu pembayaran, atau menjalankan ransomware untuk mengenkripsi situs dan memeras pemilik.
Untuk menghindari deteksi, plugin menghapus dirinya sendiri dari daftar plugin yang terlihat dan juga menyembunyikan akun administrator berbahaya yang dibuatnya.
Patchstack menyarankan pemilik situs web untuk meneliti akun admin untuk nama acak 8 karakter, cronjobs yang tidak biasa, folder bernama ‘Authbypass-update,’ dan permintaan keluar untuk layanan WooCommerce-Services[.]com, WooCommerce-API[.]com, atau wooCommerce-help[.]com.
Namun, perusahaan keamanan mencatat bahwa aktor ancaman biasanya mengubah semua indikator ini begitu mereka terpapar melalui penelitian publik, jadi pastikan Anda tidak mengandalkan pemindaian lingkup sempit.
