Miles de sitios de WordPress que utilizan una versión vulnerable del plugin Popup Builder se han visto comprometidos con un malware llamado Balada Injector.
Documentada por primera vez por Doctor Web en enero de 2023, la campaña se lleva a cabo en una serie de oleadas de ataques periódicos, aprovechando los fallos de seguridad de los plugins de WordPress para inyectar backdoors diseñados para redirigir a los visitantes de los sitios infectados a páginas falsas de soporte técnico, premios de lotería fraudulentos y estafas de notificaciones push.
Los hallazgos posteriores desenterrados por Sucuri han revelado la escala masiva de la operación, que se dice que ha estado activa desde 2017 y se ha infiltrado en no menos de 1 millón de sitios desde entonces.
La compañía de seguridad de sitios web propiedad de GoDaddy, que detectó la última actividad de Balada Injector el 13 de diciembre de 2023, dijo que identificó las inyecciones en más de 7.100 sitios.
Estos ataques se aprovechan de un fallo de alta gravedad en Popup Builder (CVE-2023-6000, puntuación CVSS: 8,8) - un plugin con más de 200.000 instalaciones activas - que fue revelado públicamente por WPScan un día antes. El problema se solucionó en la versión 4.2.3.
"Cuando se explota con éxito, esta vulnerabilidad puede permitir a los atacantes realizar cualquier acción que el administrador conectado al que se dirigen esté autorizado a hacer en el sitio objetivo, incluyendo la instalación de plugins arbitrarios y la creación de nuevos usuarios administradores falsos", dijo Marc Montpas, investigador de WPScan.
El objetivo final de la campaña es insertar un archivo JavaScript malicioso alojado en specialcraftbox[.]com y utilizarlo para tomar el control del sitio web y cargar JavaScript adicional con el fin de facilitar redireccionamientos maliciosos.
Además, los actores de la amenaza detrás de Balada Injector son conocidos por establecer un control persistente sobre los sitios comprometidos mediante la carga de puertas traseras, la adición de plugins maliciosos y la creación de administradores de blog falsos.
Esto se logra a menudo mediante el uso de inyecciones de JavaScript dirigidas específicamente a los administradores de sitios que han iniciado sesión.
"La idea es que cuando el administrador de un blog inicia sesión en un sitio web, su navegador contiene cookies que le permiten realizar todas sus tareas administrativas sin tener que autenticarse en cada nueva página", señaló el año pasado Denis Sinegubko, investigador de Sucuri.
"Por lo tanto, si su navegador carga un script que intenta emular la actividad del administrador, será capaz de hacer casi todo lo que se puede hacer a través de la interfaz de administración de WordPress".
La nueva oleada no es una excepción, ya que si se detectan cookies de administrador conectado, utiliza los privilegios elevados para instalar y activar un complemento de puerta trasera fraudulento ("wp-felody.php" o "Wp Felody") con el fin de obtener una carga útil de segunda etapa del dominio antes mencionado.
La carga útil, otro backdoor, se guarda con el nombre de "sasas" en el directorio donde se almacenan los archivos temporales, y a continuación se ejecuta y se elimina del disco.
"Comprueba hasta tres niveles por encima del directorio actual, buscando el directorio raíz del sitio actual y cualquier otro sitio que pueda compartir la misma cuenta de servidor", explica Sinegubko.
"Luego, en los directorios raíz de los sitios detectados, modifica el archivo wp-blog-header.php para inyectar el mismo malware Balada JavaScript que se inyectó originalmente a través de la vulnerabilidad Popup Builder".
Fuente: thehackernews.com