Kampanye malware baru telah menyusupi lebih dari 5.000 situs WordPress untuk membuat akun admin, memasang plugin berbahaya, dan mencuri data.
Para peneliti di perusahaan keamanan skrip web c/side menemukan selama keterlibatan respons insiden untuk salah satu klien mereka bahwa aktivitas jahat menggunakan wp3[.]domain xyz untuk mengekstrak data tetapi belum menentukan vektor infeksi awal.
Setelah mengkompromikan target, skrip berbahaya dimuat dari wp3[.]domain xyz membuat akun admin jahat wpx_admin dengan kredensial yang tersedia dalam kode.
Sumber: c/sisi
Skrip kemudian melanjutkan untuk menginstal plugin berbahaya (plugin.php) yang diunduh dari domain yang sama, dan mengaktifkannya di situs web yang disusupi.
Menurut c/sidatujuan plugin ini adalah untuk mengumpulkan data sensitif, seperti kredensial dan log administrator, dan mengirimkannya ke server penyerang dengan cara yang dikaburkan sehingga membuatnya muncul sebagai permintaan gambar.
Serangan ini juga melibatkan beberapa langkah verifikasi, seperti mencatat status operasi setelah pembuatan akun admin jahat dan memverifikasi instalasi plugin berbahaya.
Memblokir serangan
c/side merekomendasikan pemilik situs web untuk memblokir ‘wp3[.]domain xyz menggunakan firewall dan alat keamanan.
Selain itu, admin harus meninjau akun istimewa lainnya dan daftar plugin yang diinstal, untuk mengidentifikasi aktivitas tidak sah, dan menghapusnya sesegera mungkin.
Terakhir, disarankan agar perlindungan CSRF di situs WordPress diperkuat melalui pembuatan token unik, validasi sisi server, dan regenerasi berkala. Token harus memiliki waktu kedaluwarsa yang singkat untuk membatasi masa berlakunya.
Menerapkan autentikasi multifaktor juga menambah perlindungan pada akun dengan kredensial yang telah disusupi.
