遭入侵的WordPress網站,引發Blackhole漏洞攻擊

趨勢科技收到報告通知說有大量淪陷的WordPress網站會導致CRIDEX中毒。為了引誘使用者連到這些惡意網站,網路犯罪份子假冒成知名寄件者(像是美國商業促進局LinkedIn等等)來發送垃圾郵件(SPAM)。這些垃圾郵件會利用社交工程陷阱( Social Engineering)攻擊來誘使不知情的使用者點擊電子郵件中的連結。

 

遭入侵的WordPress網站,引發Blackhole漏洞攻擊

 

遭入侵的WordPress網站,引發Blackhole漏洞攻擊

 

點下這個連結會被導到一連串淪陷的WordPress網站,最終會出現在使用者前的是Blackhole漏洞攻擊包,它會針對CVE-2010-0188CVE-2010-1885的漏洞攻擊。趨勢科技將之偵測為JS_BLACOLE.IC

 

遭入侵的WordPress網站,引發Blackhole漏洞攻擊

遭入侵的WordPress網站,引發Blackhole漏洞攻擊

 

 

一旦使用者點入在圖3裡的網址,就會被重新導到有上述漏洞攻擊包的網站。

 

根據趨勢科技的分析,這個漏洞攻擊會安裝WORM_CRIDEX.IC在中毒電腦上。一旦被執行,這蠕蟲會連到一個遠端網站https://{Random URL}.ru:8080/rwx/B2_9w3/in/ 來下載它的設定檔。

 

WORM_CRIDEX.IC還會利用網域產生演算法(domain generating algorithms,DGA)來產生多個隨機網域。這是一個網路犯罪分子常常用來逃避執法單位和防止殭屍網路/傀儡網路 Botnet被關閉的技術。這個惡意軟體還會利用DGA來下載它的設定檔。在這份文章撰寫時,這樣本的確切行為會根據設定檔。但是根據靜態分析,它可以用來執行檔案、刪除檔案/資料夾並且從憑證儲存區中取得憑證。在我們測試時已經無法下載設定檔,所以也無法運作了。

 

趨勢科技主動式雲端截毒服務  Smart Protection Network可以保護使用者免受此一威脅的攻擊,我們已經封鎖了這個攻擊的相關網址,並且偵測所有的相關檔案。為了避免連上這些淪陷的網站,使用者在點擊可疑郵件的連結時都要三思而後行。務必要先確認這些郵件是否正常,特別是號稱來自知名單位的郵件。

 

 

@原文出處:Compromised WordPress sites Drive Users to Blackhole Exploit Kit作者:趨勢科技Karla Agregado (詐欺分析師)

 

@延伸閱讀

微軟遠端桌面協定伺服器漏洞(MS012-020):搶先一步保護,後上Patch修補

 
◎ 歡迎加入趨勢科技社群網站