Los actores de amenazas están utilizando el directorio "mu-plugins" de los sitios de WordPress para ocultar código malicioso con el objetivo de mantener un acceso remoto persistente y redirigir a los visitantes del sitio a sitios falsos.
mu-plugins, abreviatura de must-use plugins, hace referencia a los plugins de un directorio especial ("wp-content/mu-plugins") que WordPress ejecuta automáticamente sin necesidad de activarlos explícitamente a través del panel de administración. Esto también hace que el directorio sea un lugar ideal para escenificar malware.
"Este enfoque representa una tendencia preocupante, ya que los mu-plugins (Must-Use plugins) no aparecen en la interfaz estándar de plugins de WordPress, lo que los hace menos visibles y más fáciles de ignorar por los usuarios durante los controles de seguridad rutinarios", afirma en un análisis Puja Srivastava, investigador de Sucuri.
En los incidentes analizados por la empresa de seguridad de sitios web, se han descubierto tres tipos diferentes de código PHP fraudulento en el directorio:
- "wp-content/mu-plugins/redirect.php", que redirige a los visitantes del sitio a un sitio web externo malicioso.
- "wp-content/mu-plugins/index.php", que ofrece una funcionalidad similar al shell web, permitiendo a los atacantes ejecutar código arbitrario descargando un script PHP remoto alojado en GitHub.
- "wp-content/mu-plugins/custom-js-loader.php", que inyecta spam no deseado en el sitio web infectado, probablemente con la intención de promover estafas o manipular las clasificaciones SEO, mediante la sustitución de todas las imágenes del sitio con contenido explícito y el secuestro de enlaces salientes a sitios maliciosos.
El "redirect.php", según Sucuri, se hace pasar por una actualización del navegador web para engañar a las víctimas e instalar malware que puede robar datos o soltar payloads adicionales.
"El script incluye una función que identifica si el visitante actual es un bot", explicó Srivastava. "Esto permite al script excluir a los rastreadores de los motores de búsqueda y evitar que detecten el comportamiento de redirección".
El desarrollo se produce mientras los actores de amenazas siguen utilizando sitios de WordPress infectados como escenarios para engañar a los visitantes del sitio web para que ejecuten comandos PowerShell maliciosos en sus ordenadores Windows bajo la apariencia de una verificación reCAPTCHA de Google o CAPTCHA de Cloudflare -una táctica prevalente llamada ClickFix- y entregar el malware Lumma Stealer.
Los sitios WordPress pirateados también se están utilizando para desplegar JavaScript malicioso que puede redirigir a los visitantes a dominios de terceros no deseados o actuar como un skimmer para desviar la información financiera introducida en las páginas de pago.
Por el momento se desconoce cómo se han vulnerado los sitios, pero los sospechosos habituales son plugins o temas vulnerables, credenciales de administrador comprometidas y errores de configuración del servidor.
Según un nuevo informe de Patchstack, las amenazas han explotado de forma rutinaria cuatro vulnerabilidades de seguridad diferentes desde principios de año.
- CVE-2024-27956 (CVSS score: 9.9): Una vulnerabilidad de ejecución arbitraria de SQL no autenticada en WordPress Automatic Plugin - AI content generator and auto poster plugin
- CVE-2024-25600 (puntuación CVSS: 10,0): Vulnerabilidad de ejecución remota de código no autenticada en el tema Bricks.
- CVE-2024-8353 (puntuación CVSS: 10.0): Vulnerabilidad de inyección de objetos PHP no autenticada y ejecución remota de código en el plugin GiveWP.
- CVE-2024-4345 (puntuación CVSS: 10.0): Vulnerabilidad de carga arbitraria de archivos no autenticada en Startklar Elementor Addons para WordPress.
Para mitigar los riesgos que plantean estas amenazas, es esencial que los propietarios de sitios WordPress mantengan actualizados los plugins y los temas, auditen periódicamente el código para detectar la presencia de malware, apliquen contraseñas seguras y desplieguen un cortafuegos de aplicaciones web para las peticiones maliciosas y evitar las inyecciones de código.
Fuente: thehackernews