Хостинг-провайдеры и специалисты по сетевой безопасности регистрируют резкий рост трафика на веб-сайтах, работающих на движке WordPress. Используя десятки тысяч IP-адресов, неизвестные злоумышленники пытаются получить доступ к административной панели сайтов перебором логин-паролей по словарю (метод brute force). В случае успеха взломанный ресурс становится частью ботнета и подключается к текущей серии атак.
Попытки массового взлома WordPress нередки, однако на сей раз хакеры действуют с небывалым размахом. По данным мониторинговой компании Sucuri, число заблокированных брут-форс атак на платформу WordPress в апреле утроилось и в среднем составляет 77,4 тыс. атак в сутки, а на пике превышает 100 тысяч. Боты запрашивают /wp-login.php и пытаются осуществить вход, оперируя списком из 1 тыс. популярных комбинаций логин-пароль. Чаще всего они авторизуются под именем admin, а из паролей отдают предпочтение admin, 123456, 666666, 111111, 12345678 и qwerty. На взломанный сайт внедряется бэкдор, обеспечивающий злоумышленникам удаленный контроль над ресурсом.
По оценке компании HostGator, которая первым из хостинг-провайдеров обнародовала информацию о глобальном инциденте, в хакерскую кампанию вовлечены свыше 90 тыс. разноплеменных IP адресов. Их мишенью является не только WordPress, но и Joomla, хотя и в значительно меньшем объеме. Оператор крупнейшей CDN сети CloudFlare, который обслуживает, по собственным оценкам, около 3% подаваемых по Сети запросов, за час заблокировал 60 млн. обращений к своим клиентам, использующим WordPress. При этом с каждого атакующего IP-адреса за раз подается всего лишь один запрос.
CloudFlare полагает, что атакующие оперируют небольшим ботнетом, составленным из домашних ПК, и намереваются создать более солидную сеть на базе веб-серверов. Последние доступны круглосуточно и способны генерировать мощный трафик, к тому же их не так-то легко заблокировать. Построенный на серверах ботнет может причинить большой ущерб, работая на фишеров, распространяя зловредов или участвуя в DDoS-атаках – например, с использованием эффективного набора скриптов itsoknoproblembro.
В этом печальном событии есть своя ложка меда: его масштабность подвигла хостинг-провайдеров на совместный поиск решений. В Сети стала появляться информация «из первых рук», предложения и рекомендации для многочисленных пользователей WordPress. Компания CloudFlare, как всегда, готова играть в открытую и поделиться с коллегами своей базой IP-адресов, участвующих в хакерском нападении. Ее эксперты загрузили на CDN-сеть сигнатуру атаки и блокируют все вредоносные запросы. Разработчик WordPress выложил в своем блоге предупреждение, отметив, что при таких масштабах атаки ограничение по IP-адресу или искусственное замедление процедуры авторизации не имеют большого смысла. По его мнению – и в этом с ним согласны все хостеры, все пользователи атакуемой платформы должны незамедлительно усилить пароли, включить опцию двухфакторной аутентификации, недавно введенную в обиход, а также удостовериться в актуальности установленной версии WordPress и плагинов.
Как вариант решить проблему можно установив Lockdown WordPress Admin – плагин, обеспечивающий дополнительную защиту входа в блог. Плагин, обеспечивает дополнительную защиту страницы входа в блог. Он может менять адрес этой страницы, создавать скрытых пользователей и запрашивать дополнительный логин и пароль для входа.
Для справки: в декабре прошлого года в интернете насчитывалось 634 млн. веб-сайтов, в том числе 59,4 миллиона, построенных на WordPress. В настоящее время эту CMS используют более 64,2 млн. сайтов с совокупным числом просмотров 371 млн. в месяц.
