CIBERDELINCUENTES USAN GIFTCARDS PARA ENVIAR BACKDOORS

29/12/2022

BOLETÍN NRO 2022-759

Recientemente los ciberdelincuentes están explotando activamente una vulnerabilidad en el plugin de WordPress YITH WooCommerce Gift Cards Premium para cargar backdoors en las tiendas de comercio electrónico. El plugin vulnerado permite a las tiendas online vender tarjetas de regalo siendo utilizado por decenas de miles de sitios web.

Servicios Afectados

• Yith Woocommerce Gift Cards Premium Plugin 3.19.0 y Anteriores

Detalles Tecnicos

CVE: CVE-2022-4539                                    Severidad:   MEDIA

El fallo de seguridad se rastrea como CVE-2022-4539 un problema de carga arbitraria de archivos, que reside en la función 'import_actions_from_settings_panel' del plugin que se ejecuta en el hook 'admin_init'.

La explotación del fallo permite a un atacante subir archivos, incluyendo web shells a sitios vulnerables. Hay varios sitios web que siguen utilizando las versiones vulnerables del plugin, lo que permite a los ciberdelincuentes explotar el fallo y colocar el malware para lanzar ataques de ejecución remota de código y tomar el control de los sitios.

El problema se descubrió en noviembre y se solucionó con el lanzamiento de la versión 3.20.2 del complemento.

Según los investigadores, la mayoría de los ataques se produjeron al día siguiente de la revelación de la vulnerabilidad y han continuado desde entonces. 

La mayoría de estos ataques se originaron desde las direcciones IP 103[.]138[.]108[.]15 y 188[.]66[.]0[.]135. Los atacantes explotaban el fallo enviando peticiones POST a /wp-admin/admin-post.php, lo que les permitía cargar un ejecutable PHP malicioso en el sitio.

Indicadores de Compromiso

IP

188[.]66[.]0[.]135

103[.]138[.]108[.]15

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Hackers Target WordPress Gift Card Plugin to Upload Backdoors
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​