Geçen hafta yayınlanan bir yazıya göre, 30 farklı WordPress eklentisindeki yamalanmamış güvenlik açıklarından yararlanan kötü amaçlı yazılım, binlerce olmasa da yüzlerce siteyi etkiledi ve yıllardır aktif kullanımda olabilir.
Güvenlik firması Dr.Web’den araştırmacılar, Linux tabanlı kötü amaçlı yazılımın, virüslü sitelerin ziyaretçileri kötü amaçlı sitelere yönlendirmesine neden olan bir arka kapı yüklediğini söyledi. Ayrıca olay günlüğünü devre dışı bırakabilir, bekleme moduna geçebilir ve kendini kapatabilir. Web sitesi sahiplerinin temel WordPress içerik yönetim sistemine canlı sohbet veya ölçüm raporlaması gibi işlevler eklemek için kullandıkları eklentilerdeki zaten yamalanmış güvenlik açıklarından yararlanılarak kurulur.
Dr.Web araştırmacıları, “Siteler, bu tür eklentilerin önemli düzeltmelerden yoksun eski sürümlerini kullanıyorsa, hedeflenen web sayfalarına kötü amaçlı JavaScript’ler enjekte edilir” diye yazdı. “Sonuç olarak, kullanıcılar saldırıya uğramış bir sayfanın herhangi bir alanını tıkladıklarında başka sitelere yönlendiriliyorlar.”
Bunun gibi aramalar, 1.300’den fazla sitenin arka kapıya güç veren JavaScript’i içerdiğini gösteriyor. Bu sitelerden bazılarının son taramadan bu yana kötü amaçlı kodu kaldırmış olması mümkündür. Yine de, kötü amaçlı yazılımın erişiminin bir göstergesidir.
Yararlanan eklentiler şunları içerir:
- WP Canlı Sohbet Destek Eklentisi
- WordPress – Yuzo İlgili Yazılar
- Sarı Kalem Görsel Tema Özelleştirici Eklentisi
- kolay smtp
- WP GDPR Uyumluluk Eklentisi
- WordPress Erişim Kontrolünde Gazete Teması (CVE-2016-10972 güvenlik açığı)
- Thim Çekirdek
- Google Kod Yerleştirici
- Toplam Bağış Eklentisi
- Özel Şablonlar Lite Yayınlayın
- WP Hızlı Rezervasyon Yöneticisi
- Zotabox’tan Facebook Canlı Sohbet
- Blog Tasarımcısı WordPress Eklentisi
- WordPress Ultimate SSS (CVE-2019-17232 ve CVE-2019-17233 güvenlik açıkları)
- WP-Matomo Entegrasyonu (WP-Piwik)
- Görsel Besteci için WordPress ND Kısa Kodları
- WP Canlı Sohbet
- Çok Yakında Sayfası ve Bakım Modu
- Hibrit
- Brizy WordPress Eklentisi
- FV Flowplayer Video Oynatıcı
- WooCommerce
- WordPress Çok Yakında Sayfası
- WordPress teması OneTone
- Basit Alanlar WordPress Eklentisi
- WordPress Delucks SEO eklentisi
- OpinionStage’den Anket, Anket, Form ve Sınav Yapıcı
- Sosyal Metrik İzleyici
- WPeMatico RSS Besleme Alıcısı
- Zengin İncelemeler eklentisi
Dr.Web yazımı, “Bir veya daha fazla güvenlik açığından başarıyla yararlanılırsa, hedeflenen sayfaya uzak bir sunucudan indirilen kötü amaçlı bir JavaScript enjekte edilir” dedi. “Bununla, enjeksiyon, virüslü sayfa yüklendiğinde, sayfanın orijinal içeriğinden bağımsız olarak, önce bu JavaScript’in başlatılacağı şekilde yapılır. Bu noktada, kullanıcılar virüslü sayfada herhangi bir yeri tıkladıklarında, saldırganların kullanıcıların gitmesi gereken web sitesine aktarılacaklar.”
JavaScript, aşağıdakiler de dahil olmak üzere çeşitli kötü amaçlı alanlara bağlantılar içerir:
lobi arzuları[.]iletişim
hadi yapalımparti3[.]ga
teslimat iyi stratejileri[.]iletişim
gabriellalovecats[.]iletişim
css[.]sindirmektoplamak[.]iletişim
klon[.]hızlı parça toplamak[.]iletişim
Saymak[.]takip istatistikleri[.]iletişim
Aşağıdaki ekran görüntüsü, JavaScript’in virüslü sitenin sayfa kaynağında nasıl göründüğünü gösterir:
Dr.Web
Araştırmacılar arka kapının iki versiyonunu buldular: Linux.BackDoor.WordPressExploit.1 ve Linux.BackDoor.WordPressExploit.2. Kötü amaçlı yazılımın üç yıldır kullanımda olabileceğini söylediler.
WordPress eklentileri uzun zamandır sitelere virüs bulaştırmanın yaygın bir yolu olmuştur. Ana uygulamanın güvenliği oldukça sağlam olsa da, birçok eklenti virüs bulaşmasına yol açabilecek güvenlik açıklarıyla doludur. Suçlular, virüslü siteleri ziyaretçileri kimlik avı, reklam sahtekarlığı ve kötü amaçlı yazılım dağıtmak için kullanılan sitelere yönlendirmek için kullanır.
WordPress sitelerini çalıştıran kişiler, ana yazılımın en güncel sürümlerini ve tüm eklentileri kullandıklarından emin olmalıdır. Yukarıda listelenen eklentilerden herhangi birini güncellemeye öncelik vermelidirler.
