La tempesta de malware Sign1 impacta 39 mil llocs de WordPress

Una nova campanya de malware coneguda com a Sign1 ha compromès més de 39.000 llocs de WordPress en els últims sis mesos, portant a redireccionaments no desitjats i anuncis emergents per als visitants del lloc. Descobert per l’empresa de seguretat de llocs web Sucuri, el malware s’injecta de manera enginyosa en widgets HTML personalitzats i plugins legítims, evitant la modificació directa dels arxius de WordPress. Aquest mètode d’infecció s’ha observat notablement en l’ús del plugin “Simple Custom CSS and JS” per introduir codi JavaScript maliciós.L’estratègia de Sign1 inclou l’ús de la randomització basada en el temps per generar URLs dinàmiques que canvien cada 10 minuts, esquivant efectivament les llistes de bloqueig. Aquestes URLs recuperen scripts maliciosos addicionals que s’executen en el navegador del visitant. Originalment allotjats a Namecheap, els dominis des de llavors han passat a HETZNER per allotjament i a Cloudflare per l’ofuscació d’IP.

El malware utilitza codificació XOR i noms de variables aleatòries per complicar la detecció. S’activa només per a visitants de llocs importants com Google i Facebook, romanent inactiu d’altra manera. Una cookie assegura que el popup es mostri només una vegada per visitant per minimitzar els riscos de detecció. Els visitants són redirigits a llocs d’estafa, sovint falsos captchas, que enganyen els usuaris perquè habilitin notificacions del navegador per a anuncis.

L’anàlisi de Sucuri revela la natura evolutiva de Sign1, amb pics d’infecció que es correlacionen amb noves versions del malware. L’última onada d’atacs ha afectat 2.500 llocs des de gener de 2024, demostrant un augment en la discreció i resistència a les mesures de bloqueig. Es recomana als propietaris de llocs enfortir les contrasenyes, actualitzar els plugins i eliminar els complements innecessaris per mitigar la vulnerabilitat a tals atacs.

Source: BleepingComputer

Per mitigar amenaces potencials, és important implementar mesures addicionals de ciberseguretat amb l’ajuda d’un soci de confiança com INFRA www.infrascan.net o bé pots provar-ho tu mateix utilitzant check.website.