Stotine WordPress stranica pretvoreno u točke distribucije zlonamjernog softvera
Sigurnosni istraživači identificirali su kampanju u kojoj se stotine kompromitiranih WordPress web stranica koristi za distribuciju zlonamjernog softvera putem poznatog, ali obmanjujuće učinkovitog trika: lažnog zaslona za reCAPTCHA verifikaciju. Umjesto potvrde da je posjetitelj čovjek, lažni upit osmišljen je kako bi prevario ljude da nesvjesno zaraze vlastite Windows uređaje, što u konačnici dovodi u opasnost spremljene lozinke i druge osjetljive vjerodajnice.
Ono što ovu kampanju čini značajnom nije samo sam lažni CAPTCHA. Istraživači je opisuju kao sofisticiranu operaciju koja kombinira taj mamac temeljen na socijalnom inženjeringu s tehnikama postojanosti preglednika, što znači da je zlonamjerni softver dizajniran da se zadrži čak i nakon što korisnik zatvori preglednik ili ponovno pokrene računalo. Uključene web stranice nisu zlonamjerne po svojoj namjeni; radi se o legitimnim WordPress stranicama koje su otete i prenamijenjene kao nesvjesna infrastruktura za napad.
Kako funkcionira trik s lažnim reCAPTCHA-om
Kampanje s lažnim CAPTCHA-om oslanjaju se na jednostavnu psihološku prečicu: ljudi su uvježbani da kliknu kroz upite za verifikaciju bez dvostrukog razmišljanja. Kada posjetitelj dođe na jednu od kompromitiranih WordPress stranica, prikazuje mu se ono što izgleda kao standardni okvir za označavanje "Nisam robot" ili zaslon za verifikaciju. U stvarnosti, upit je vrata za izvršavanje zlonamjernog koda na uređaju posjetitelja.
Ovaj pristup postaje sve češći jer zaobilazi neke od obrana koje su korisnici naučili prepoznati, poput sumnjivih privitaka e-pošte ili očito lažnih stranica za prijavu. CAPTCHA djeluje rutinski i niskorizično, što je upravo razlog zašto su se napadači oslonili na njega. Jednom kada se aktivira, zlonamjerni softver instaliran ovom metodom sposoban je prikupljati spremljene vjerodajnice iz preglednika i drugih aplikacija na Windows sustavima, dajući napadačima uporište u račune e-pošte, financijske usluge i bilo koju drugu platformu na kojoj je žrtva spremila lozinku.
Činjenica da su uključene stotine zasebnih WordPress stranica također ukazuje na to kako se ove kampanje skaliraju. Napadači obično ne izgrađuju stotine zlonamjernih stranica od nule; kompromitiraju postojeće, često putem zastarjelih dodataka, slabih administratorskih vjerodajnica ili nezakrpanih ranjivosti, a zatim tiho ubrizgavaju zlonamjerne skripte. To odražava obrasce viđene u drugim kompromitacijama hostinga velikih razmjera, uključujući 40.000 poslužitelja pogođenih aktivnim iskorištavanjem cPanel ranjivosti, gdje je jedna ranjivost omogućila napadačima da steknu uporište na ogromnom broju inače nepovezanih web stranica.
Zašto je ovo važno za vašu privatnost
Kampanje krađe vjerodajnica poput ove nisu samo tehnička neugodnost, već izravna prijetnja osobnoj privatnosti. Lozinke spremljene u pregledniku često otključavaju mnogo više od jednog računa. Ako napadač dobije pristup Windows lozinci ili spremljenim podacima za prijavu u pregledniku, možda će moći preusmjeriti se na e-poštu, oblak pohrane, bankarske portale i društvene mreže, od kojih svaka može otkriti dodatne osobne podatke.
Ovo je također podsjetnik da mreže kompromitiranih web stranica funkcioniraju slično botnetovima: pojedinačno otete sustave koji rade zajedno, često bez znanja svojih vlasnika, kako bi izveli koordinirani napad na ništa nesumnjive treće strane. U ovom slučaju, "žrtve" uključuju i vlasnike web stranica čije su stranice tiho otete i svakodnevne posjetitelje koji su dobili lažni reCAPTCHA upit.
Što ovo znači za vas
Ako upravljate WordPress stranicom, ova kampanja je snažan podsjetnik da svoju osnovnu instalaciju, teme i dodatke održavate ažuriranima te da koristite jake, jedinstvene administratorske vjerodajnice. Kompromitirane stranice rijetko su ciljane pojedinačno; obično su zahvaćene automatskim skeniranjima koja traže poznate slabosti.
Ako ste redoviti korisnik interneta, zaključak je jednostavniji, ali jednako važan: budite skeptični prema CAPTCHA upitima koji traže više od označavanja okvira ili odabira slika, posebno ako stranica traži da kopirate, zalijepite ili pokrenete naredbu. Legitimni verifikacijski sustavi to nikada ne zahtijevaju. Ako sumnjate da su vaše vjerodajnice već možda izložene napadom putem preglednika poput ovog, vrijedi pregledati korake u ovom vodiču za oporavak nakon povrede podataka kako biste razumjeli kako zaključati račune i ograničiti daljnju štetu.
Praktični zaključci
Nekoliko praktičnih koraka može značajno smanjiti vašu izloženost kampanjama poput ove. Održavajte svoj operativni sustav i preglednik ažuriranima jer zakrpe često zatvaraju upravo one rupe koje ovi napadi iskorištavaju. Izbjegavajte spremanje osjetljivih lozinki izravno u preglednik i umjesto toga razmislite o namjenskom upravitelju lozinki. Budite oprezni prema bilo kojoj interakciji na web stranici koja traži pokretanje naredbi, preuzimanje neočekivanih datoteka ili dodjelu neobičnih dopuštenja, bez obzira koliko službeno izgledala. I ako upravljate WordPress stranicom, redovito provjeravajte svoje dodatke i administratorske račune jer nezakrpanu stranicu jednako lako može postati dio problema.
Kampanje izgrađene oko lažnih reCAPTCHA upita uspijevaju jer iskorištavaju povjerenje u rutinsku, svakodnevnu interakciju. Ostanak na oprezu prema tom jazu između očekivanja i stvarnosti ostaje jedna od najučinkovitijih obrana dostupnih svakodnevnim korisnicima.
