Un malware su 6000 siti basati su WordPress

La società di sicurezza Sucuri ha pubblicato un intervento sul proprio blog dando risalto ad un problema che sta interessando numerosi siti web basati su CMS WordPress, utilizzati da un gruppo di malintenzionati allo scopo di prendere controllo di quanti più sistemi endpoint possibili.

Si tratta di una vera e propria "campagna criminale" iniziata 15 giorni fa ma che solo negli ultimi giorni ha fatto balzare ad oltre 6000 i siti compromessi. Questi ultimi vengono usati per indirizzare gli ignari visitatori ad un server che ospita un codice di attacco reso disponibile tramite l'exploit kit Nuclear, venduto sul mercato nero. Il server tenta una varietà di exploit differenti sulla base del sistema operativo e delle app presenti sul computer del visitatore.

Daniel Cid, CTO della società di Sucuri, ha commentato: "A pensarci, i siti web compromessi sono mezzi che i criminali usano per avere l'accesso a quanti più desktop endpoint possibili. Qual è il modo più facile di raggiungere i terminali dell'utente finale? I siti web, ovviamente".

Non è ancora stato possibile determinare come sia avvenuta la compromissione dei siti web, ma c'è il forte sospetto che la causa prima sia una vulnerabilità in un qualche plugin di WordPress che viene così infettato da un malware.

Intanto il 17% dei siti compromessi sono già finiti nella blacklist del servizio di Google che avvisa gli utenti quando stanno per accedere ad una risorsa web potenzialmente dannosa. Il blog di Sucuri osserva come tra i siti compromessi vi sia anche quello di un altro provider di soluzioni di sicurezza, Coverity, che viene anch'esso usato come inconsapevole attore della campagna criminale.

Sucuri non ha fornito alcuna informazione che possa consentire l'identificazione dei siti compromessi: coloro i quali hanno la responsabilità di gestione di un sito web basato su WordPress possono usare gli strumenti di scan messi a disposizione della stessa Sucuri ed eventualmente rimuovere il malware.