Киберпреступность захватывает сайты на базе WordPress

07.12.2020 Не так давно в поле зрения специалистов по информационной безопасности попала группа хакеров, эксплуатирующая сайты на базе WordPress. Произведя взлом, группа делает разные шаги, чтобы воспользоваться сайтами в свою пользу. Например, поверх них хакеры запускают мошеннические интернет-магазины. Также они отравляют XML-карты для влияния на поисковую выдачу.

Описанные в статье манипуляции показывают, как важна в наше время защита веб-трафика на любом предприятии. Учётная запись владельца сайта взламывается простым брутфорсом. Затем редактируется основной индексный файл в WordPress, чтобы осуществлялся вредоносный код. Основная функция кода – служить мостом, направляющим входящий трафик взломанного сайта на удаленный сервер преступников. Получив запрос, сервер выполняет цепочку команд, приводящих к краже пользовательских денег. Типичный сюжет на таких сайтах выглядит так:

1. Пользователь открывает взломанный WordPress-сайт.
2. Сайт связывается с сервером мошенников.
3. Встроенный код оценивает потенциальную выгоду, которую можно извлечь из пользователя. Если его устройство проходит по нескольким алгоритмам – сервер отправляет html-документ, внешне похожий на интернет-магазин.
4. Пользователь видит интернет-магазин на месте того сайта, который пытался посетить, и уже не застрахован от потери денежных средств.

Другим методом использования взломанных сайтов стало создание липовых XML-карт. В них содержались данные о мошеннических интернет-магазинах наряду с исходными страницами сайта. После создания таких карт, хакеры загружали их в поисковую систему, а затем – удаляли, чтобы не быть обнаруженными. Таким образом сильно падал рейтинг ресурса, для которого были написаны подобные карты. Как заявили эксперты, такие операции могут служить вымогательским целям, опираясь на SEO. То есть, сначала у сайта снижают рейтинг, а затем просят у его владельцев выкуп, чтобы сайт снова поднялся в поисковой выдаче.