Голяма хакерска кампания залива уебсайтове по целия свят, превръщайки обикновени системи за управление на съдържанието (CMS) в стартови площадки за атакуващи.

Малки и средни бизнеси в Австралия и извън нея установяват, че техните уеб сървъри са тихо компрометирани, често без очевидни предупредителни знаци.

Мащабът на тази операция повиши статуса на тревога до критичен. В центъра на тази кампания е добре познат, но опасен инструмент, наречен уебшел (webshell).

След като бъде внедрен на компрометиран сървър, уебшелът дава на атакуващите скрита задна врата, която им позволява да контролират отдалечено сайта, сякаш самите те са пред клавиатурата.

Оттам нататък престъпниците могат да променят съдържанието на страниците, да крадат идентификационни данни за вход, да разпространяват зловреден софтуер или да използват тази позиция за по-дълбоко проникване в мрежата.

Анализатори и изследователи от Центъра за киберсигурност на Австралийския директорат за сигнали (ASD), известен като ACSC, идентифицираха тази кампания, докато тя се разгръщаше в широк спектър от CMS платформи и плъгини.

Тяхното разследване установи, че атакуващите не разчитат на една единствена слабост, а свързват верижно известни уязвимости, за да увеличат обхвата си.

Експлоатираните уязвимости позволяват неоторизирано качване на файлове, отдалечено изпълнение на код (RCE), фалшифициране на заявки от страна на сървъра (SSRF) и небезопасна десериализация.

Много от тях вече имат налични публични пачове за сигурност, което прави мащаба на експлоатацията още по-тревожен за собствениците, които не са актуализирали софтуера си навреме.

От ACSC заявиха в доклад, споделен с Cyber Security News (CSN), че кампанията отразява по-широка промяна в това колко бързо атакуващите преминават от разкриване на уязвимост към активна експлоатация.

Агенцията посочи неотдавнашно съвместно изявление на агенциите за киберсигурност на „Петте очи“ (Five Eyes), предупреждаващо, че изкуственият интелект (AI) ускорява скоростта и мащаба на тези операции.

Тази вълна от експлоатация обхваща широк набор от софтуер. Насочена е към плъгини за WordPress като Simple File List, WavePlayer, BerqWP, WPBookit, Ninja Forms, ThemeREX Addons, Breeze Cache, pay-uz, ACF Extended, Sneeit Framework, WPvivid Backup, Gravity Forms и GutenKit или Hunk Companion, заедно с самостоятелни платформи като Craft CMS, MaxSite CMS, MetInfo CMS и Joomla JCE.

Всеки инструмент носи своя собствена проследявана уязвимост, а атакуващите изглежда сканират интернет за всеки сайт, работещ с уязвима версия. След като бъде открита слабост, в файловата система се пуска уебшел, осигуряващ постоянен отдалечен достъп.

Компрометираният сървър може след това да бъде използван за дефейс (промяна на облика), кражба на идентификационни данни, разпространение на зловреден софтуер или като трамплин към по-голяма мрежа.

Това, което прави тази кампания забележителна, не е някой нов експлойт, а ширината на списъка с цели. Атакуващите хвърлят широка мрежа в различни CMS екосистеми, вместо да се насочват само към една платформа, което увеличава шансовете за намиране на непачвана цел.

Препоръчителни стъпки за реакция и защита

ACSC очерта ясни стъпки за собствениците на уебсайтове, които подозират, че са засегнати:

  • Първият приоритет е проверка на CMS директорията за необичайни файлове и преглед на регистрационните файлове (logs) за уеб достъп за подозрителни заявки, насочени към известни пътища на уебшелове.
  • Всеки сървър, на който е открит уебшел, трябва да се третира като напълно компрометиран. Това означава изолирането му, одит на регистрационните файлове за автентификация и мрежа за признаци на странично движение (lateral movement), както и проследяване на историческия трафик, за да се установи как е станал пробивът.
  • Възстановяването от чисто, доказано добро резервно копие (backup) се препоръчва, след като средата бъде проверена и пачната.

Отвъд реакцията при инциденти, ACSC препоръчва и дългосрочни защитни навици. Поддържането на CMS софтуера и плъгините актуализирани остава най-ефективната мярка за безопасност. Деактивирането на плъгин в момента, в който дадена уязвимост стане публична, може да затвори прозореца на експозиция.

Конфигурирането на уеб директориите само за четене (read-only), ограничаването на това кои файлове и пътища могат да се изпълняват и наблюдението за неочаквани дъщерни процеси, стартирани от уеб сървъра, могат да ограничат възможностите на уебшела.

Организациите също така се насърчават да блокират ненужните мрежови пътища между публичните уебсайтове и вътрешните системи, намалявайки шанса компрометираният сайт да доведе до по-широк пробив.