Nonostante sia trascorso più di un mese dall’annuncio della vulnerabilità della libreria timtumb.php su WordPress e nonostante molti utenti siano corsi ai ripari aggiornando il codice vulnerabile ancora adesso i tentativi di sfruttare la falla da parte dei blackhat sono molto frequenti sulle migliaia di blog WordPress attivi in rete. Il nostro staff ha rilevato a partire già dai primi giorni di Agosto (momento in cui la vulnerabilità è stata diffusa) numerosi tentativi di infezione sulle piattaforme server gestite, tentativi che ovviamente non sono andati a buon fine grazie agli sbarramenti di difesa attivi su tutti i server dei nostri clienti. Ritrovarsi con un blog compromesso può essere più frequente di quanto si possa pensare e molto spesso le infezioni sono silenziose allo scopo di indurre pochi sospetti nell’utente colpito.
L’obiettivo principale di un attacco su un blog WordPress è quello di sfruttare le vulnerabilità RFI (remote file inclusion) allo scopo di eseguire l’upload di file malevoli sullo spazio web colpito. Alcuni degli ultimi script malevoli analizzati sono stati creati allo scopo di effettuare il collegamento con un server IRC esterno che viene utilizzato per la creazione di una o più botnet di blog WordPress infetti. Le botnet in oggetto sono nella maggioranza dei casi gestite da soggetti indonesiani, molto spesso gli stessi autori delle reti ecommerce infette basate su osCommerce di cui ci siamo occupati in precedenza su questo blog.
Di seguito alcuni estratti dei bot Php recuperati dove è chiaramente visibile la parte di codice dedicata alla connessione con i server IRC delle botnet :
Anche a distanza di anni o mesi dalla release di una vulnerabilità è altamente probabile che gruppi di blackhat siano intenzionati a sfruttare questi exploit bersagliando migliaia di blog alla ricerca delle installazioni vulnerabili e non aggiornate, che sono comunque in una percentuale sempre molto alta. I punti salienti della difesa :
- mai abbassare la guardia anche a distanza di mesi dall’uscita della vulnerabilità
- aggiornare, aggiornare, aggiornare
- verificare elementi sospetti come connessioni verso porte riconducibili al traffico IRC (6667,6668,6669,7000,7050) o rallentamenti del server
- prevedere verifiche periodiche del server che ospita i siti o i blog dell’utente