Хакеры расставили ловушки на более чем 2000 взломанных сайтах WordPress

Хакеры взломали более 2000 сайтов WordPress и превратили их в инфраструктуру для распространения вредоносного ПО.

Кампанию обнаружили исследователи Check Point Research. Группировку они назвали StopAndProtect.

Основная опасность для владельцев криптовалюты заключается в том, что вредоносный код размещается на обычных легитимных сайтах, которые внешне выглядят как нормальные блоги или страницы компаний.

WordPress-сайты превратили в инфраструктуру для атак

Исследователи сообщили подробности кампании 18 августа.

StopAndProtect использовала плохо обслуживаемые сайты WordPress не только для размещения вредоносных файлов, но и для управления зараженными устройствами и хранения украденных данных.

Один взломанный сайт мог одновременно выполнять несколько функций:

распространять вредоносное ПО;
передавать команды зараженным компьютерам;
перенаправлять пользователей;
хранить украденные файлы.

Таким образом, обычный сайт превращался в полноценную инфраструктуру для дальнейших атак.

Причиной стали старые уязвимости WordPress

Исследователь Яромир Горейши изучил один из сайтов, использованных злоумышленниками.

На нем обнаружилось почти 40 различных уязвимостей.

Некоторые из них существовали еще с 2021 года.

Это показывает, что основой кампании стали плохо обновляемые сайты с устаревшими компонентами.

Фейковая CAPTCHA заставляет пользователя заражать компьютер самому

Главный способ заражения выглядит особенно опасно.

Пользователь заходит на обычный сайт и видит окно CAPTCHA.

Страница сообщает, что для продолжения необходимо выполнить дополнительную проверку.

После этого человеку предлагают скопировать команду и вставить ее в PowerShell.

Именно эта команда запускает загрузку вредоносного ПО.

Что крадет вредоносная программа

После заражения программа может получить доступ к важным данным пользователя Windows.

В числе целей:

сохраненные пароли;
seed-фразы криптокошельков;
файлы с компьютера;
данные из сетевых папок;
информация с USB-накопителей.

Программа также способна делать скриншоты и передавать их злоумышленникам.

Вредоносное ПО может шифровать компьютер

Возможности программы не ограничиваются кражей данных.

Она также способна зашифровать компьютер и потребовать выкуп.

Таким образом, одна и та же инфраструктура используется сразу для нескольких видов атак.

Жертва может одновременно потерять доступ к файлам, криптовалюте и учетным записям.

Новые версии записывают клавиатуру и делают скриншоты

Более новые варианты вредоносного ПО получили дополнительные функции.

Исследователи обнаружили возможность записи нажатий клавиш.

Также программа может автоматически делать скриншоты каждые 30 секунд.

Кроме того, в некоторых версиях использовался WhatsApp для получения изображения списка контактов пользователя.

Криптокошельки — одна из главных целей

Для владельцев криптовалюты наибольший риск представляет поиск seed-фраз.

Если такая фраза хранится на компьютере в документе, заметке или другом доступном файле, вредоносная программа может ее обнаружить.

Получив seed-фразу, злоумышленник способен восстановить кошелек на другом устройстве.

После этого средства можно вывести без дополнительного доступа к компьютеру жертвы.

Сами хакеры допустили серьезные ошибки

Интересная часть расследования связана с инфраструктурой самих злоумышленников.

Они оставили некоторые каталоги и журналы открытыми для доступа через интернет.

Благодаря этому исследователи получили дополнительную информацию о масштабах кампании.

Check Point также предполагает, что один из компьютеров атакующих мог быть скомпрометирован.

Исследователи нашли инструмент управления сетью

Среди доступных файлов обнаружили исходный код инструмента автоматизации.

Он использовался для управления взломанными сайтами.

Программа была написана на Visual Basic 6.

С ее помощью злоумышленники могли:

включать фишинговую CAPTCHA;
перенаправлять посетителей;
менять вредоносные файлы;
обновлять вредоносное ПО.

В списке оказалось почти 2000 доменов

В текстовых файлах исследователи нашли список почти из 2000 взломанных доменов.

Все они потенциально использовались как часть инфраструктуры StopAndProtect.

Это показывает, что речь идет не об отдельных атаках, а о масштабной распределенной сети.

Более 6000 устройств могли быть заражены

По состоянию на 24 июля кампания затронула более 6000 уникальных IP-адресов.

Из них:

1852 находились в США;
около 630 — в России;
еще около 630 — в Индии.

Это лишь обнаруженная часть инфраструктуры.

Реальное число пострадавших может отличаться.

Исследователи нашли сотни архивов украденных файлов

С середины мая до конца июля специалисты обнаружили более 700 архивов с украденными файлами.

В одной из открытых директорий находилось более 20 000 скриншотов компьютеров жертв.

Это показывает, насколько большой объем данных собирала вредоносная программа.

Как защититься

Главный признак опасности — сайт просит пользователя самостоятельно вставить команду в PowerShell или командную строку.

Нормальная CAPTCHA не требует подобных действий.

Также стоит:

регулярно обновлять Windows;
обновлять браузер;
не запускать команды с сайтов;
не хранить seed-фразы в обычных текстовых файлах;
использовать отдельные устройства или аппаратные кошельки для крупных сумм;
проверять расширения браузера;
использовать антивирус и защиту от фишинга.

Если сайт просит вставить команду в терминал, страницу лучше сразу закрыть.

Что это значит для инвестора?

Новость не влияет напрямую на цену BTC, ETH или других криптовалют, но показывает рост рисков для пользователей.

Главная опасность — атака идет не через подозрительный сайт, а через уже существующие WordPress-ресурсы, которым пользователь может доверять.

Для владельцев криптовалют особенно важно не хранить seed-фразы на рабочем компьютере и не выполнять команды, которые предлагает сайт.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.