Kriittinen haavoittuvuus WordPress-sisällönhallintajärjestelmässä Haavoittuvuuksia korjattu Mozilla Firefoxissa ja Thunderbirdissä

25 11 2014

CryptoPHP-haittaohjelma leviää luvattomasti muokattujen Drupal-, Joomla- ja WordPress-lisäosien avulla.

Tunnisteet: drupal, wordpress, joomla, cryptophp

Hollantilainen Fox-IT on selvittänyt CryptoPHP:ksi ristimänsä haittaohjelmakampanjan toimintaa. Haittaohjelma leviää luvattomasti muunneltujen Drupal-, Joomla- ja WordPress-teemojen ja -liitännäisten avulla.

Luvattomasti muokatut liitännäiset kulkevat nimellä "nulled scripts", ja niistä on poistettu lisensointiin ja käyttöoikeuksiin liittyvät tarkastukset. Liitännäiset ovat olleet ladattavissa verkkosivustoilta, joilla tällä tavoin luvattomasti muokattuja lisäosia on ollut yleisesti tarjolla. Toiminta on käytännössä ohjelmistopiratismia, joten uhreiksi ovat joutuneet piraattiversioita liitännäisistä sivustoilleen asentaneet ylläpitäjät.

Fox-IT:n selvityksissä havaittiin, että muokattuihin liittännäisiin oli lisätty haittakoodia, joka korvasi liitännäistä käyttävän sivuston vastauksia omillaan silloin, kun kyselyitä teki esim. hakukoneen indeksointirobotti. Kyselyihin annettiin vastaukseksi hyökkääjien palveluiden osoitteita, jolloin niiden merkittävyys hakukoneen tilastoissa kasvoi. Vastaavasti CryptoPHP:llä saastutettuja lisäosia käyttävät sivustot menettivät hakukone- ja kävijäliikennettä. CryptoPHP sisältää myös itsepäivitystoiminnallisuuden, joten sen avulla voi olla mahdollista ajaa sivustoa ylläpitävällä palvelimella muutakin haitallista ohjelmakoodia.

Fox-IT arvioi, että ainakin tuhat verkkosivustoa on onnistuttu saastuttamaan CryptoPHP:llä. Osa näistä sivustoista sijaitsee Suomessa. Kyberturvallisuuskeskus välittää tietoonsa tulleista saastuneista sivuista tiedon ylläpitäjille Autoreporter-järjestelmän avulla.

CryptoPHP-takaovelta voi suojautua käyttämällä ainoastaan luotetuista lähteistä ladattuja liitännäisiä.

Lisätietoja:

https://threatpost.com/attackers-using-compromised-web-plug-ins-in-cryptophp-blackhat-seo-campaign/109505

https://foxitsecurity.files.wordpress.com/2014/11/cryptophp-whitepaper-foxsrt-v4.pdf

Päivityshistoria

  • 25.11.2014 klo 13:13
    Julkaistu
Kriittinen haavoittuvuus WordPress-sisällönhallintajärjestelmässä Haavoittuvuuksia korjattu Mozilla Firefoxissa ja Thunderbirdissä