O nouă variantă a cunoscutului malware ClearFake (cunoscut și ca ClickFix) a fost descoperită și deja a reușit să compromită mii de site-uri WordPress, potrivit cercetătorilor de la GoDaddy. Hackerii utilizează pluginuri malițioase instalate pe site-uri deja compromise pentru a fura date sensibile.
Campania vizează utilizatori care administrează site-uri WordPress, folosind acreditări furate anterior sau cumpărate de pe piața neagră. Atacatorii se conectează la conturile de administrare ale site-urilor și instalează pluginuri aparent inofensive. Odată instalate, aceste pluginuri afișează ferestre pop-up care solicită utilizatorilor să facă diverse acțiuni, toate ducând la instalarea de malware specializat în furtul de informații.
Peste 6.000 de site-uri compromise
Procesul este complet automatizat, iar până acum mai mult de 6.000 de site-uri au fost afectate.
Pluginurile malițioase sunt proiectate să pară legitime, purtând nume cunoscute în comunitatea WordPress, precum Wordfence Security sau LiteSpeed Cache. Printre alte pluginuri identificate se numără SEO Booster Pro, Google SEO Enhancer și Admin Bar Customizer.
Uite lista completă de care se stie până acum:
- LiteSpeed Cache Classic
- MonsterInsights Classic
- Wordfence Security Classic
- Search Rank Enhancer
- SEO Booster Pro
- Google SEO Enhancer
- Rank Booster Pro
- Admin Bar Customizer
- Advanced User Manager
- Advanced Widget Manage
- Content Blocker
- Universal Popup Plugin
ClearFake folosește notificări false care imită alerte antivirus sau actualizări de browser, inducând în eroare utilizatorii pentru a descărca actualizări ce conțin malware.
Administratorii de site-uri WordPress sunt sfătuiți să fie extrem de precauți și să își verifice pluginurile pentru a se proteja de această campanie malițioasă.