据BleepingComputer消息,近期发生了一轮针对通过WordPress搭建的网站的勒索攻击,截止到目前已经有300多个网站遭受了攻击。

有意思的是,这实际上是一轮假的勒索攻击,在网站显示的也是假的加密通知,攻击者试图通过勒索攻击的恐惧引诱网站所有者支付 0.1枚比特币进行恢复(约6,069.23美元)。

如下图所示,这些勒索赎金的通知看起来非常真实,还带有倒数计时器以增加紧迫感,其目的是为了增加网站管理员支付赎金的概率。

虽然和很多勒索攻击的巨额赎金相比,0.1枚比特币微不足道,但是对于很多个人网站来说依旧是一笔不小的支出。对于攻击者而言,只要上当受骗的网络管理者足够多,累积起的赎金同样不可小觑。

 烟雾和镜子

网站安全服务提供商Sucuri发现了这些假勒索攻击,并为其中一名受害者进行应急响应工作。研究之后,Sucuri安全人员发现这些网站并没有被加密,攻击者仅仅修改了一个WordPress 插件,这样就可以显示上图所示的赎金记录和倒计时。

为了让勒索攻击更加逼真,攻击者还将网站所有文章的状态从“post_status”改为“null”,这意味着所有的文章都处于未发布状态,乍一看还以为网站真的被加密了。

攻击者所伪装的一切,都是为了让网站所有者认为,他们的网站真的已经被加密了,从而支付0.1枚比特币的赎金。

一旦用户支付赎金之后,攻击者就会删除插件,并运行命令重新发布文章,使得站点恢复到之前的状态,也让用户认为自己的网站确实是解密了。

看来,为了能够骗到用户拿到赎金,攻击者也是拼了,哪怕技术不够,也要演技来凑,实施了一次假的加密攻击来勒索赎金。

结果还真的有不少网站所有者被骗了。此次应急响应过程中,Sucuri大约跟踪了291个遭受攻击的网站,谷歌搜索显示已经有一些网站恢复了,但还有不少网站依旧显示着勒索赎金。

通过对网络流量日志的进一步分析,Sucuri安全人员现第一个被攻击的IP地址是wp-admin 面板。这意味着攻击者是以管理员身份登录网站,他们要么是暴力破解了密码,要么就是在暗网市场获取了已经泄露的账号和密码。

最后,Sucuri建议用户采取以下安全措施,避免网站再次被黑客攻击:

1.查看站点管理员用户,删除任何虚假帐户,并更新/更改所有wp-admin密码;

2.保护网站wp-admin管理员页面;

3.更改其他接入点密码(包括数据库、FTP、cPanel 等);

4.做好防护墙保护工作;

5.做好备份工作,即使真的被攻击了依旧可以恢复;

6.由于通过WordPress搭建的网站经常被攻击,因此要确保所有已安装的插件都是最新的版本。