Desde el año 2017, se estima que más de un millón de sitios web de WordPress han sido infectados por una campaña activa que despliega malware denominado Balada Injector. Esta campaña se caracteriza por aprovechar vulnerabilidades en temas y plugins conocidos y recientemente descubiertos.
Características de la campaña
Según Sucuri, los ataques ocurren en oleadas cada pocas semanas. La campaña se identifica por su uso de ofuscación mediante String.fromCharCode, dominios recién registrados que alojan scripts maliciosos y redirecciones a sitios fraudulentos.
Los atacantes emplean técnicas como la inyección HTML y el uso de URL de sitio para acceder a los sistemas. En muchos casos, intentan obtener credenciales de base de datos desde el archivo wp-config.php.
Objetivos y efectos del malware
El malware permite la generación de usuarios falsos con permisos de administrador, la obtención de datos almacenados en los servidores subyacentes y el establecimiento de puertas traseras para un acceso persistente. Además, busca archivos como copias de seguridad, volcados de base de datos, registros y herramientas como adminer o phpmyadmin.
La campaña también realiza búsquedas en directorios del sitio web para localizar directorios con permisos de escritura que pertenezcan a otros sitios. Esto puede permitir el acceso a múltiples dominios si comparten la misma cuenta de servidor y permisos.
Ataques alternativos
En caso de no encontrar vías de ataque disponibles, los atacantes emplean un conjunto de 74 credenciales predefinidas para forzar la contraseña del administrador. Por ello, se recomienda mantener actualizado el software de WordPress y eliminar plugins y temas que ya no se usen.
Relación con otras campañas
Esta actividad está relacionada con una campaña similar descubierta por la Unidad 42 de Palo Alto Networks, que empleaba técnicas de inyección de JavaScript malicioso para redirigir a visitantes a páginas fraudulentas. Más de 51.000 sitios web se han visto afectados desde 2022.
La campaña también utiliza String.fromCharCode como técnica de ofuscación, lo que lleva a las víctimas a páginas trampa que les engañan para habilitar notificaciones push, haciéndose pasar por una falsa comprobación CAPTCHA.
El código malicioso se incluye en la página de inicio de más de la mitad de los sitios web detectados. Una táctica común es inyectar el código en nombres de archivo JS frecuentes, como jQuery, que suelen estar presentes en las páginas de inicio.