Sites Web exécutant WordPress et Joomla à risque d'injecteurs et de scripts de redirecteur malveillants

WordPress. Orderland

Les sites Web qui utilisent des systèmes de gestion de contenu (CMS) populaires tels que Joomla et WordPress sont soumis à un injecteur de code et à un script de redirecteur. La nouvelle menace pour la sécurité envoie apparemment des visiteurs sans méfiance vers des sites Web authentiques mais hautement malveillants. Une fois la redirection réussie, la menace de sécurité tente d'envoyer du code et des logiciels infectés à l'ordinateur cible.

Les analystes de sécurité ont découvert une menace de sécurité surprenante qui cible Joomla et WordPress, deux des plates-formes CMS les plus populaires et les plus utilisées. Des millions de sites Web utilisent au moins l'un des CMS pour créer, modifier et publier du contenu. Les analystes avertissent désormais les propriétaires de sites Web Joomla et WordPress d'un script de redirection malveillant qui pousse les visiteurs vers des sites Web malveillants. Eugene Wozniak, chercheur en sécurité chez Sucuri, détaillé la menace de sécurité malveillante qu’il avait découvert sur le site Web d’un client.

La menace d'injecteur .htaccess nouvellement découverte ne tente pas de paralyser l'hôte ou le visiteur. Au lieu de cela, le site Web concerné tente constamment de rediriger le trafic du site Web vers des sites publicitaires. Bien que cela ne semble pas très dommageable, le script de l'injecteur tente également d'installer un logiciel malveillant. La deuxième partie de l'attaque, lorsqu'elle est associée à des sites Web d'apparence légitime, peut gravement affecter la crédibilité de l'hébergeur.

Joomla, ainsi que les sites Web WordPress, utilisent très couramment les fichiers .htaccess pour apporter des modifications de configuration au niveau du répertoire d'un serveur Web. Inutile de mentionner qu'il s'agit d'un composant plutôt critique du site Web car le fichier contient la configuration de base de la page Web hôte et ses options qui incluent l'accès au site Web, les redirections d'URL, le raccourcissement d'URL et le contrôle d'accès.

Selon les analystes de sécurité, le code malveillant abusait de la fonction de redirection d'URL du fichier .htaccess: «Alors que la majorité des applications Web utilisent des redirections, ces fonctionnalités sont également couramment utilisées par les mauvais acteurs pour générer des impressions publicitaires et envoyer visiteurs sans méfiance de sites de phishing ou d'autres pages Web malveillantes. »

Ce qui est vraiment préoccupant, c'est qu'on ne sait pas exactement comment les attaquants ont eu accès aux sites Web Joomla et WordPress. Bien que la sécurité de ces plates-formes soit assez robuste, une fois à l’intérieur, les attaquants peuvent, assez facilement, implanter le code malveillant dans les fichiers Index.php de la cible principale. Les fichiers Index.php sont essentiels car ils sont responsables de la livraison des pages Web Joomla et WordPress, comme le style du contenu et les instructions sous-jacentes spéciales. Il s'agit essentiellement du premier ensemble d'instructions qui indique ce qu'il faut livrer et comment livrer tout ce que le site Web propose.

Après avoir obtenu l'accès, les attaquants peuvent planter en toute sécurité les fichiers Index.php modifiés. Par la suite, les attaquants ont pu injecter les redirections malveillantes dans les fichiers .htaccess. La menace d'injecteur .htaccess exécute un code qui continue de rechercher le fichier .htaccess du site Web. Après avoir localisé et injecté le script de redirection malveillant, la menace approfondit la recherche et tente de rechercher davantage de fichiers et de dossiers à attaquer.

La principale méthode de protection contre l'attaque consiste à vider complètement l'utilisation du fichier .htaccess. En fait, la prise en charge par défaut des fichiers .htaccess a été éliminée à partir d'Apache 2.3.9. Mais plusieurs propriétaires de sites Web choisissent toujours de l'activer.