Plugin漏洞在流量货币化方案中开发 - MalwareBytes Labs |必威官方登录备用必威平台APP必威平台APP必威官方登录备用Malwarebytes Labs.

在他们的网站黑客趋势报告美国网络安全公司Sucuri指出，2018年WordPress感染率上升至90%。内容管理系统(CMS)感染有时被忽视的一个方面是，攻击者不仅攻击CMS本身——wordpress、Drupal等——而且还攻击第三方插件和主题。

虽然插件对于为CMS运行网站提供其他功能，但它们也增加了攻击表面。并非所有插件都经常维护或安全，有些人甚至被他们的开发人员抛弃，留下了永远不会得到固定的错误。

在过去的几个月里，我们注意到威胁演员利用几个高调的插件漏洞，以重定向各种货币化方案的流量，具体取决于访问者的地理位置和其他属性。这WordPress GDPR.合规插件漏洞，且较近期简单的WP STMP和社会战争漏洞是一些例子机会主义的攻击迅速在野外采用。

重定向基础设施

被攻击的网站可以以不同的方式获得货币化，但最受欢迎的是劫持交通并将游客重定向到诈骗和利用．

我们开始在Sucuri的博客文章中关注的最新注射活动社会战争零天存储XSS．根据日志数据，自动利用试图从Pastebin粘贴，可以在下面看到。混淆代码显示威胁演员使用的一个域：

用于对弱势插件的自动攻击中使用的Pastebin代码片段

我们的爬虫器通过与这些最近的插件Hacks相关的相同的基础设施确定了重定向方案。受损网站注入了解码的大量混淆代码setforconfigplease [。] com（与Pastebin代码中的相同的域）。

被吸入到黑客网站的混淆代码

重定向的第一层指向所托管的域176.123.9 [] 52和176.123.9。53它将通过.tk域执行第二个重定向。来自Sucuri的Denis在过去的几天里跟踪了这些域的演变和旋转。

新域用于“Easy WP SMTP”和“社会战争”（和其他一些）攻击 - RedRentalService [。] Com - 注册2019-03-21。替换setForConfigplease [。] Com（3月4日注册）。https://t.co/2rwvxhlrfb.和https://t.co/lqse0iwr61.

- 丹尼斯（@unmaskparasites）2019年3月22日

根据我们的遥测，在这场广告系列中重定向的大多数用户来自巴西，其次是美国和法国：

基于访客原籍国的最佳检测

诈骗，恶意等等

这个广告系列（和其他类似的目标）是交通货币化。威胁演员获得从受损站点到各种诈骗和其他溢利产生方案的流量。在过去的几个月里，我们一直在遵循涉及前面描述的相同基础设施的主动重定向运动。

跟踪任何持续的威胁都会深入了解威胁演员的剧本 - 无论是大的还是小的。代码可以通过迭代，从清除文本才能混淆，或者或许可能包含新功能。

虽然在这次活动中有许多基于地理位置和浏览器类型的最终有效负载，但我们关注的是一些人们可能会遇到的流行负载。通过劫持数千个被黑网站的流量，骗子在试图避免被屏蔽的同时，对受害者进行指纹识别和重定向。

有效载荷类型的流量重定向

浏览器储物柜和技术支持诈骗

从历史上看，我们已经看到这个Sub运动作为浏览器储物柜的主要供应商之一，由Tech Support Scammers使用。使用.tk tld的新域每隔几分钟生成一次，以充当拨动器的重定向。回到2018年10月，Sucuri提到了这个积极的活动滥用旧的Tagdiv主题和智能谷歌代码插入器插件的未括号版本。

浏览器储物柜仍然是一种流行的社会工程工具，用来吓唬人们，让他们以为自己的电脑被感染并被锁住了。虽然没有真正的恶意软件，但JavaScript的一些巧妙之处却让浏览器供应商头疼不已。“邪恶光标”是那些有效阻止用户关闭标签页或浏览器窗口的技巧之一刚刚得到了修复．