NUEVA CAMPAÑA DE MALWARE AFECTA A WORDPRESS

14/11/2022

BOLETÍN NRO 2022-666

Recientemente, una nueva campaña maliciosa ha comprometido más de 15.000 sitios web de WordPress en un intento de redirigir a los visitantes a portales de preguntas y respuestas falsos.

Servicios Afectados

• Sistemas operativos Windows

 

Detalles Tecnicos

CVE: ---                                    Severidad:   ALTA   Los investigadores de seguridad, afirmaron que estos redireccionamientos maliciosos parecen estar diseñados para aumentar la autoridad de los sitios de los ciberdelincuetes para los motores de búsqueda, calificándolo de "clever black hat SEO trick". La técnica de envenenamiento del motor de búsqueda está diseñada para promover un "puñado de sitios falsos de preguntas y respuestas de baja calidad" que comparten plantillas de creación de sitios web similares y son operados por el mismo actor de amenazas. Los archivos más comúnmente infectadas incluyen: -wp-signup.php -wp-cron.php -wp-links-opml.php -wp-settings.php  -wp-comments-post.php -wp-mail.php  -xmlrpc .php  -wp-activate.php  -wp-trackback.php  -wp-blog-header.php Este extenso compromiso permite que el malware ejecute los redireccionamientos a los sitios web elegidos por el atacante. Vale la pena señalar que las redirecciones no ocurren si la cookie wordpress_logged_in está presente o si la página actual es wp-login.php (es decir, la página de inicio de sesión) para evitar levantar sospechas. El objetivo final de la campaña es "dirigir más tráfico a sus sitios falsos" y "aumentar la autoridad de los sitios mediante clics de resultados de búsqueda falsos para que Google los clasifique mejor y obtengan más tráfico de búsqueda orgánico real". Indicadores de Compromiso Dominio ois[.]is istisharaat[.]com poxnel[.]com tadalafilhot[.]com rawafedpor[.]com elbwaba[.]com cr-halal[.]com aly2um[.]com URL en[.]w4ksa[.]com peace[.]yomeat[.]com qa[.]bb7r[.]com en[.]ajeel[.]store qa[.]istisharaat[.]com en[.]photolovegirl[.]com en[.]poxnel[.]com qa[.]tadalafilhot[.]com questions[.]rawafedpor[.]com qa[.]elbwaba[.]com questions[.]firstgooal[.]com qa[.]cr-halal[.]com qa[.]aly2um[.]com

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Over 15,000 WordPress Sites Compromised in Malicious SEO Campaign
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​