Uma brecha de segurança já corrigida em temas do WordPress ainda mantém em risco cerca de 100 mil sites cujos administradores não aplicaram as atualizações mais recentes.
A partir da vulnerabilidade, criminosos seriam capazes de realizar o upload de arquivos aos servidores destas páginas, que passam a contribuir para infecções adicionais e, também, podem ser usadas para a injeção de spam em espaços legítimos.
O problema foi detectado pelos especialistas da Wordfence e atingem clientes da Thrive Theme, uma grande fornecedora do mercado de criação de conteúdo.
Não apenas os temas da categoria legada da companhia permitiam a exploração, como também alguns de seus plugins de otimização de conteúdo, comentários, SEO e texto, em brechas que foram corrigidas em 12 de março.
O número de sites vulneráveis, entretanto, mostra que boa parte dos usuários de tais soluções ainda não realizaram os updates essenciais.
Com isso, se iniciou uma campanha de exploração maliciosa que combina duas vulnerabilidades para permitir o envio de arquivos ao servidor de forma não-autorizada e sem a necessidade de autenticação pelos responsáveis.
A partir de um sistema de atualização dos temas, arquivos são implantados na raiz da infraestrutura dos sites, abrindo backdoors para novas infecções e exibindo spams e propagandas sob o controle dos criminosos em páginas anteriormente legítimas.
De acordo com as análises da Wordfence, cerca de 1,9 mil sites estariam comprometidos desta maneira, contendo uma ou mais explorações maliciosas por criminosos.
Apesar de ser uma campanha ativa, não existem informações sobre a centralização dos ataques em um único grupo, indicando se tratarem de tentativas voltadas, justamente, à descoberta das brechas e à possibilidade de aproveitar enquanto administradores não realizam as atualizações devidas.
A recomendação é para quer todos os usuários apliquem com urgência a atualização 2.0.0 de temas legados do Thrive Themes, bem como de qualquer plugin do serviço que esteja sendo utilizado no site.
Além disso, vale a pena analisar a raiz dos servidores e pastas do sistema em busca de uploads suspeitos ou não autorizados, com os especialistas em segurança divulgando uma lista de arquivos a serem analisados, bem como IPs utilizados pelos criminosos para a exploração.
Ciberia // Canaltech
