Обнаружена вредоносная кампания против WordPress и Joomla

​

Обнаружена активная вредоносная кампания, направленная против сайтов на базе WordPress и Joomla. Злоумышленниками взламываются ресурсы, которые работают на базе популярных CMS, через многочисленные уязвимости в распространенных плагинах или эксплуатируют баги в самих CMS, играя на том, что программное обеспечение редко обновляется своевременно. Также специалисты пишут, что порой атакующие используют легитимные учетные данные, полученные из иных источников.

Когда сайт взломан хакеры добавляют в файл header.php двенадцать строк прошедшего обфускацию кода. После перенаправления посетителей с сайта на зараженный адрес, в браузер добавляется файл куки за счет которого обходится повторное заражение одним и тем же вирусом в течении года.



Перенаправление происходит на сайты default7, test246, test0, distinctfestive, ableoccassion, представляющие из себя фальшивую техническую поддержку. Также на таких сайтах можно впридачу подхватить и малварий.


С сайтом Joomla происходит подобная ситуация Wordpress, только меняется файл на administrator/includes/help.php и часто их заражения ниже.

Одним из методов борьбы предложено простое отключение в файле wp-config.php возможного редактора файлов:

# Disable Theme Editing
define( 'DISALLOW_FILE_EDIT', true );

На данную вредоносную кампанию обратил внимание и известный эксперт Джером Сегура из компании Malwarebytes.