Attacco ai siti WordPress sfrutta un plugin per l’e-commerce

Mar 14, 2019 Marco Schiaffino Attacchi, Hacking, In evidenza, Malware, News, RSS, Vulnerabilità 1

Una tecnica di attacco geniale permette ai pirati informatici di forzare l’installazione di due backdoor e prendere il controllo del sito.

Il 30% dei siti Internet che visitiamo sul Web sono creati e gestiti con WordPress e, di conseguenza, non stupisce che il Content Management System “libero” per antonomasia sia uno dei bersagli preferiti dei pirati informatici.

Questa volta, però, la tecnica usata dai cyber-criminali per attaccare i siti WordPress è davvero intrigante. Stando a quanto riporta Wordfence, società di sicurezza specializzata nella protezione dei siti Internet WordPress, i pirati avrebbero trovato un modo davvero ingegnoso per sfruttare una vulnerabilità in un plugin dedicato all’e-commerce.

Il plugin in questione si chiama Abandoned Cart Lite For WooCommerce e ha uno scopo piuttosto particolare. La sua funzione, infatti, è quella di registrare il contenuto dei “carrelli abbandonati”, cioè degli acquisti che gli utenti intendevano fare ma a cui non hanno dato seguito completando l’acquisto.

Si tratta di informazioni che, per chi gestisce un sito di commercio elettronico, sono estremamente preziose e consentono di profilare i gusti dei visitatori consentendo di ottimizzare le scorte in magazzino o capire quali prodotti siano più graditi dai potenziali clienti.

Il plugin non impatta in alcun modo su elementi “esterni” del sito e crea una raccolta di dati che normalmente viene visualizzata dall’amministratore (o gli amministratori) del sito attraverso il back-end.

I pirati informatici, però, hanno trovato il modo di sfruttare alcuni bug del plugin per avviare l’esecuzione di codice in remoto attraverso un trucchetto davvero brillante.

I criminali, in pratica, selezionano una serie di prodotti a caso per l’acquisto e compilano i dati per fatturazione e consegna. Poi chiudono la finestra e, di conseguenza, l’ordine viene classificato come “abbandonato”.

Alcune di queste informazioni (come email e indirizzo di consegna) sono generati casualmente, ma i campi relativi al nome e cognome per la fatturazione contengono invece codice malevolo (un JavaScript) che viene registrato dal plugin.

Qual è il problema? In buona sostanza il fatto che quando questi campi vengono aperti dall’amministratore, il codice contenuto in quegli specifici campi non viene controllato in alcun modo e, di conseguenza, viene eseguito.

Negli attacchi rilevati da Wordfence, il codice in questione punta a un collegamento bit.ly che fa riferimento a un ulteriore JavaScript che scarica e installa due backdoor sul sito, creando un account con privilegi di amministratore.

Nello specifico, l’account faceva riferimento all’email woouser401a@mailinator.com e alla password K1YPRka7b0av1B. Da questo momento, i pirati informatici avevano accesso libero al sito.

La seconda backdoor viene inserita come “backup” di quella principale, usando una tecnica piuttosto bizzarra. Il codice veniva infatti inserito sostituendolo a un plugin disabilitato dal legittimo amministratore del sito. Questo rimane inattivo fino a quando non riceve un comando di attivazione inviato tramite una richiesta Web, che “scatta” solo se la backdoor principale viene disabilitata.

In seguito alla segnalazione di Wordfence, lo sviluppatore del plugin ha pubblicato un aggiornamento che corregge il bug e impedisce la catena di attacchi sui siti che usano Abandoned Cart Lite For WooCommerce.

Condividi l'articolo