Miles de sitios web basados en WordPress han sido comprometidos por actores maliciosos que instalan complementos falsos con el objetivo de mostrar mensajes engañosos y descargan malware. Estas campañas se utilizan para robar información sensible, incluyendo credenciales de acceso a redes y datos personales.
Campañas de malware en la web
Desde 2023, el malware ClearFake ha sido utilizado por actores de amenazas para mostrar mensajes falsos de actualización del navegador a través de sitios web comprometidos. Estos mensajes son parte de una campaña que distribuye malware con fines de robo de información.
A partir de 2024, se introdujo una nueva campaña llamada ClickFix, que comparte características similares a ClearFake pero pretende ser un mensaje de error del software. Sin embargo, estas «correcciones» son scripts de PowerShell que descargan y instalan malware para robar información.
Las campañas ClickFix se han vuelto más comunes este año, con actores de amenazas que comprometen sitios web para mostrar mensajes falsos relacionados con Google Chrome, Google Meet, Facebook e incluso páginas CAPTCHA.
Complementos maliciosos en WordPress
La semana pasada, GoDaddy informó que actores de amenazas ClearFake/ClickFix han violado más de 6.000 sitios de WordPress para instalar complementos maliciosos que muestran alertas falsas asociadas con estas campañas.
El investigador de seguridad Denis Sinegubko señaló que estos complementos aparentemente legítimos están diseñados para parecer inofensivos a los administradores, pero contienen scripts maliciosos incrustados que envían mensajes falsos de actualización del navegador a los usuarios finales.
Los complementos maliciosos usan nombres similares a los complementos legítimos, como Wordfense Security, Litespeed Cache y otros con nombres genéricos inventados. La lista de complementos maliciosos incluye:
- Litespeed Cache Classic
- Custom CSS Injector
- MonsterInsights Classic
- Custom Footer Generator
- Wordfence Security Classic
- Custom Login Styler
- Search Rank Enhancer
- Dynamic Sidebar Manager
- SEO Booster Pro
- Easy Themes Manager
- Google SEO Enhancer
- Form Builder Pro
- Rank Booster Pro
- Quick Cache Cleaner
- Admin Bar Customizer
- Responsive Menu Builder
- Advanced User Manager
- SEO Optimizer Pro
- Advanced Widget Manage
- Simple Post Enhancer
- Content Blocker
- Social Media Integrator
Sucuri también señaló que un complemento falso llamado «Universal Popup Plugin» forma parte de esta campaña. Cuando se instala, el complemento malicioso conecta varias acciones de WordPress según la variante para inyectar un script JavaScript malicioso en el HTML del sitio.
Cuando se carga, este script intentará cargar otro archivo JavaScript malicioso almacenado en un contrato inteligente de Binance Smart Chain (BSC), que luego carga el script ClearFake o ClickFix para mostrar los banners falsos.
A partir de los registros de acceso al servidor web analizados por Sinegubko, los actores de amenazas parecen estar utilizando credenciales de administrador robadas para iniciar sesión en el sitio de WordPress e instalar el complemento de forma automatizada. Los actores inician sesión mediante una única solicitud POST HTTP, lo que indica que se está haciendo de forma automatizada una vez que ya se han obtenido las credenciales.
Si bien no está claro cómo los actores de amenazas obtienen las credenciales, el investigador señala que podría ser a través de ataques previos de fuerza bruta, phishing y malware de robo de información.
Si opera WordPress y recibe informes de alertas falsas que se muestran a los visitantes, debe examinar inmediatamente la lista de complementos instalados y eliminar los que no haya instalado usted mismo. Si encuentra complementos desconocidos, también debe restablecer inmediatamente las contraseñas de los usuarios administradores a una contraseña única que solo se usa en su sitio.