Malver SoakSoak kompromitovao 100000 WordPress sajtova

Vesti, 16.12.2014, 09:17 AM

Istraživači firme Sucuri Security upozorili su na masovno kompromitovanje WordPress sajtova malicioznim JavaScriptom koji vodi posetioce sajtova do malvera. Ipak, WordPress nije jedina platforma koja je pogođena ovim malverom.

U nedelju je Google stavio na crnu listu više od 11000 domena. Analiza istraživača iz firme Sucuri Security otkrila je da je kompromitovano 100000 WordPress sajtova.

Veruje se da je kompromitovanje sajtova rezultat iskorišćavanja bezbednosnog propusta u pluginu Slider Revolution Premium koji je ispravljen pre izvesnog vremena.

Malver koji inficira računare posetilaca nazvan je SoakSoak zbog toga što se isporučuje sa web sajta SoakSoak.ru. On menja fajl wp-includes/template-loader.php da bi uključio JavaScript što dovodi do toga da wp-includes/js/swobject.js bude učitan na svakoj stranici koji posetilac pregleda na sajtu. Kada se malver dekodira, on učitava JavaScript malver sa SoakSoak.ru domena, i to sledeći fajl: hxxp://soasoak.ru/xteas/code.

Vlasnici web sajtova koji su redovno ažurirali svoje pluginove i oni koji su kupili plugin diretno od programera mogu biti sigurni da su ispravili ovaj bezbednosni propust zahvaljujući automatskom ažuriranju.

Međutim, plugin je takođe upakovan u tematske pakete, i tu automatsko ažuriranje ne radi. Zato se administratorima savetuje da provere da li na svojim web sajtovima imaju instaliranu najnoviju verziju plugina.

ThemePunch, koji proizvodi Slider Revolution, na žalost nije obavestio svoje korisnike da je dostupna nova verzija plugina, niti ih upozorio o opasnostima korišćenja neažurirane verzije.

Istraživači iz Sucuri Security su pozvali administratore sajtova da provere da li su njihovi sajtovi kompromitovani ovim ili nekim drugim malverom pomoću skenera na njihovom sajtu. Pristup sajtu SoakSoak.ru Google je sada blokirao, tako da Chrome prikazuje stranicu sa upozorenjem za malver. I dijagnostička stranica za ovaj web sajt je stavljena na crnu listu, jer je Google otkrio maliciozni softver na njoj.

Poslednji put sumnjivi sadržaj bio je na stranicama sajta SoakSoak.ru u nedelju, 14. decembra.

Neki od simptoma koji ukazuju da je sajt kompromitovan uključuju preusmeravanje posetilaca na maliciozni web sajt ili preuzimanje fajla bez pristanka korisnika.