Hơn 15.000 trang web WordPress bị ảnh hưởng trong chiến dịch SEO độc hại

Hơn 15.000 trang web WordPress đã bị xâm nhập và chuyển hướng đến các cổng thông tin giả mạo để tăng lưu lượng truy cập trang web spam.

Một chiến dịch SEO độc hại mới đã xâm nhập thành công hơn 15.000 trang web WordPress. Mục tiêu của chiến dịch là chuyển hướng người dùng đến các trang hỏi đáp giả mạo để tăng lưu lượng truy cập.

Hơn 15.000 trang web WordPress được thỏa hiệp

Trong một chiến dịch chuyển hướng mũ đen mới, tin tặc đã tìm cách xâm nhập hơn 15.000 trang web WordPress để tăng thứ hạng trên công cụ tìm kiếm của các trang web giả mạo khác nhau.

Như đã báo cáo trong một bài đăng trên blog của Sucuri, đã có một sự gia tăng đáng chú ý trong các trang web chuyển hướng phần mềm độc hại WordPress kể từ tháng 9 năm 2022. Các trang web chuyển hướng này đưa người dùng đến các cổng Hỏi & Đáp giả mạo, chất lượng thấp. Chỉ trong tháng 9 và tháng 10, tin tặc đã có thể nhắm mục tiêu thành công hơn 2.500 trang web.

Sucuri, một nhà nghiên cứu bảo mật, đã phát hiện 14 trang web giả mạo cho đến nay, với máy chủ của họ bị che khuất bởi proxy. Các câu hỏi được hiển thị trên các trang web được lấy từ các nền tảng Hỏi và Đáp hợp pháp khác. Với xếp hạng SEO tăng lên, các trang web này có thể tiếp cận nhiều cá nhân hơn.

Các trang web hỏi đáp giả mạo có thể phát tán phần mềm độc hại

Các trang web giả mạo được sử dụng trong chiến dịch chuyển hướng này có khả năng phát tán phần mềm độc hại cho khách truy cập. Không giống như nhiều trang web độc hại, các diễn đàn Hỏi & Đáp giả mạo cụ thể này có khả năng sửa đổi hơn 100 tệp bị nhiễm trên mỗi trang web. Điều này thường không được thực hiện, vì nó làm cho khả năng phát hiện và tiêu diệt chúng cao hơn.

Trong bài đăng trên blog đã nói ở trên, Sucuri đã tuyên bố rằng hầu hết các tệp bị nhiễm là các tệp WordPress cốt lõi, nhưng cũng liệt kê một số tệp bị nhiễm phổ biến nhất, tất cả đều có phần mở rộng .php. Danh sách các tệp .php bị nhiễm được hiển thị bên dưới:

• ./wp-signup.php
• ./wp-cron.php
• ./wp-links-opml.php
• ./wp-settings.php
• ./wp-comments-post.php
• ./wp-mail.php
• ./xmlrpc.php
• ./wp-activate.php
• ./wp-trackback.php
• ./wp-blog-header.php

Sucuri cũng nhấn mạnh rằng phần mềm độc hại được phát hiện có mặt trong một số tên tệp giả hợp pháp do chính tin tặc đánh rơi, bao gồm:

• RVbCGlEjx6H.php
• lfojmd.php
• wp-newslet.php
• wp-ver.php
• wp-logln.php

Phương pháp vi phạm của tin tặc có thể là một Plugin dễ bị tổn thương hoặc Brute-Force

Sucuri vẫn chưa phát hiện ra cách mà những hacker mũ đen này xâm nhập các trang web WordPress này, nhưng người ta cho rằng một plugin dễ bị tấn công hoặc cuộc tấn công vũ phu là những thủ phạm có khả năng nhất. Tin tặc có thể đang sử dụng một bộ công cụ khai thác để tìm ra các lỗ hổng bảo mật trong các plugin nhằm đánh dấu mục tiêu. Ngoài ra, mật khẩu đăng nhập của quản trị viên trang WordPress có thể bị bẻ khóa bằng cách sử dụng một thuật toán trong một cuộc tấn công bạo lực.

Các trang web WordPress là các mục tiêu khai thác phổ biến

Đây hoàn toàn không phải là lần đầu tiên các trang web WordPress bị nhắm mục tiêu bởi các phần tử độc hại. Hàng triệu trang web WordPress đã bị tội phạm mạng xâm nhập trong quá khứ và không nghi ngờ gì nữa, nhiều trang khác sẽ tiếp tục trở thành nạn nhân của những cuộc tấn công như vậy.