Hundrevis av WordPress-nettsteder gjort om til leveringspunkter for skadelig programvare

Sikkerhetsforskere har identifisert en kampanje der hundrevis av kompromitterte WordPress-nettsteder brukes til å distribuere skadelig programvare gjennom et kjent, men villedende effektivt triks: en falsk reCAPTCHA-verifiseringsskjerm. I stedet for å bekrefte at en besøkende er menneske, er den forfalskede forespørselen designet for å lure folk til uvitende å infisere sine egne Windows-maskiner, noe som til slutt setter lagrede passord og andre sensitive påloggingsdetaljer i fare.

Det som gjør denne kampanjen bemerkelsesverdig er ikke bare selve den falske CAPTCHA-en. Forskere beskriver den som en sofistikert operasjon som kombinerer det sosialtekniske lokket med teknikker for nettleserpersistens, noe som betyr at den skadelige programvaren er bygget for å bli værende selv etter at en bruker lukker nettleseren sin eller starter datamaskinen på nytt. Nettstedene som er involvert er ikke ondsinnede av design; de er legitime WordPress-nettsteder som har blitt kapret og omformålstjenliggjort som uvitende infrastruktur for angrepet.

Hvordan den falske reCAPTCHA-luken fungerer

Kampanjer med falsk CAPTCHA er avhengige av en enkel psykologisk snarvei: folk er trent til å klikke seg gjennom verifiseringsforespørsler uten å tenke seg om to ganger. Når en besøkende lander på et av de kompromitterte WordPress-nettstedene, får de vist det som ser ut som en standard «Jeg er ikke en robot»-avkrysningsboks eller verifiseringsskjerm. I virkeligheten er forespørselen en døråpner for å kjøre ondsinnet kode på den besøkendes enhet.

Denne tilnærmingen har blitt stadig mer vanlig fordi den omgår noe av det forsvaret brukere har lært seg å kjenne igjen, som mistenkelige e-postvedlegg eller åpenbart falske påloggingssider. En CAPTCHA føles rutinemessig og lavrisiko, noe som er nettopp grunnen til at angripere har satset på den. Når den først er utløst, er den skadelige programvaren som installeres gjennom denne metoden i stand til å høste lagrede påloggingsdetaljer fra nettlesere og andre applikasjoner på Windows-systemer, noe som gir angripere et fotfeste inn i e-postkontoer, finansielle tjenester og enhver annen plattform der et offer har lagret et passord.

At hundrevis av separate WordPress-nettsteder er involvert peker også på hvordan slike kampanjer skalerer. Angripere bygger vanligvis ikke hundrevis av ondsinnede nettsteder fra bunnen av; de kompromitterer eksisterende, ofte gjennom utdaterte plugin-moduler, svake administratorlegitimasjoner eller upatchede sårbarheter, og injiserer deretter stille ondsinnede skript. Dette speiler mønstre sett i andre storskala vertskompromitteringer, inkludert 40 000 servere rammet av den aktive cPanel-utnyttelsen, der en enkelt sårbarhet tillot angripere å få et fotfeste på tvers av et massivt antall ellers urelaterte nettsteder.

Hvorfor dette er viktig for personvernet ditt

Kampanjer for tyveri av påloggingsdetaljer som denne er ikke bare en teknisk ulempe – de er en direkte trussel mot personlig personvern. Passord lagret i en nettleser låser ofte opp langt mer enn en enkelt konto. Hvis en angriper får tilgang til et Windows-passord eller en nettlesers lagrede påloggingsdata, kan de kanskje bevege seg videre inn i e-post, nettskylagring, bankportaler og sosiale medier, som hver kan eksponere ytterligere personlig informasjon.

Dette er også en påminnelse om at nettverk av kompromitterte nettsteder fungerer mye som botnett: enkeltvis kaprede systemer som jobber sammen, ofte uten eiernes viten, for å utføre et koordinert angrep mot intetanende tredjeparter. I dette tilfellet inkluderer «ofrene» både nettsideeierne hvis nettsteder ble stille kapret og de vanlige besøkende som fikk servert den falske reCAPTCHA-forespørselen.

Hva dette betyr for deg

Hvis du driver et WordPress-nettsted, er denne kampanjen en sterk påminnelse om å holde hovedinstallasjonen, temas og plugin-modulene oppdatert, og å bruke sterke, unike administratorlegitimasjoner. Kompromitterte nettsteder er sjelden målrettet individuelt; de blir vanligvis fanget opp gjennom automatiserte skanninger som leter etter kjente svakheter.

Hvis du er en vanlig internettbruker, er budskapet enklere, men like viktig: vær skeptisk til CAPTCHA-forespørsler som ber deg gjøre noe utover å klikke på en avkrysningsboks eller velge bilder, spesielt hvis et nettsted ber deg kopiere, lime inn eller kjøre en kommando. Legitime verifiseringssystemer krever aldri det. Hvis du mistenker at påloggingsdetaljene dine allerede kan ha blitt eksponert gjennom et nettleserbasert angrep som dette, er det verdt å gjennomgå trinnene i denne gjenopprettingshåndboken for datalekkasjer for å forstå hvordan du sikrer kontoer og begrenser ytterligere skade.

Praktiske tiltak

Noen få praktiske steg kan redusere eksponeringen din for kampanjer som denne betydelig. Hold operativsystemet og nettleseren oppdatert, siden oppdateringer ofte lukker de eksakte hullene disse angrepene utnytter. Unngå å lagre sensitive passord direkte i nettleseren og vurder en dedikert passordbehandler i stedet. Vær forsiktig med enhver nettstedinteraksjon som ber deg kjøre kommandoer, laste ned uventede filer eller gi uvanlige tillatelser, uansett hvor offisiell den ser ut. Og hvis du administrerer et WordPress-nettsted, revider plugin-modulene og adminkontoene dine regelmessig, siden et upatchet nettsted like gjerne kan bli en del av problemet.

Kampanjer bygget rundt falske reCAPTCHA-forespørsler lykkes fordi de utnytter tillit til en rutinemessig, hverdagslig interaksjon. Å være årvåken på gapet mellom forventning og virkelighet er fortsatt et av de mest effektive forsvarene som er tilgjengelige for vanlige brukere.