Критична вразливість у популярному плагіні WordPress може дозволити хакерам захопити криптовалютні вебсайти, орієнтовані на користувачів. Ця вразливість потенційно створює можливості для зловмисників впроваджувати фішингові сторінки, фальшиві посилання на гаманці та шкідливі перенаправлення.
Хоча цей недолік не впливає на бекенди гаманців або контракти токенів, він піддає ризику фронтенд-інфраструктуру, на яку користувачі покладаються для безпечної взаємодії з криптосервісами. Незважаючи на те, що плагін був виправлений, десятки тисяч сайтів залишаються незахищеними, працюючи на застарілих версіях.
Потенціал шахрайства плагіна WordPress
Криптозлочини зараз на піку, і багато несподіваних векторів можуть призвести до нових шахрайських атак. Наприклад, нещодавній звіт від Patchstack, фірми з цифрової безпеки, розкриває нову експлойт WordPress, яка може потенційно сприяти новим криптошахрайствам.
«Плагін Post SMTP, який має понад 400 000 встановлень, є плагіном для доставки електронної пошти. У версіях 3.2.0 і нижче плагін вразливий до численних вразливостей порушення контролю доступу в своїх кінцевих точках REST API… дозволяючи будь-якому зареєстрованому користувачеві (включаючи користувачів рівня Підписник, які не повинні мати жодних привілеїв) виконувати різноманітні дії», — йдеться у звіті.
Ці функції включали: перегляд статистики кількості електронних листів, повторне відправлення електронних листів та перегляд детальних журналів електронних листів, включаючи весь текст листа.
Хакер WordPress може використати цю вразливість для перехоплення електронних листів для скидання паролів, потенційно отримуючи контроль над обліковими записами адміністраторів.
Багато цілей у криптовалюті
Отже, як ця вразливість WordPress може призвести до криптошахрайств? На жаль, можливості практично безмежні. Фальшиві електронні листи від служби підтримки клієнтів були ключовими в багатьох останніх фішингових спробах, тому обмежений контроль над електронною поштою вже є небезпечним.
Компрометований сайт, що використовує WordPress, може вставляти фальшиві токени та шахрайські вебсайти у зовнішні посилання за допомогою шкідливих скриптів та перенаправлень.
Хакери можуть збирати паролі та намагатися використовувати їх у списку бірж. Вони можуть навіть впроваджувати шкідливе програмне забезпечення у кожного користувача, який відкриває певну сторінку.
Чи Безпечні Мої Криптогаманці?
На перший погляд, більшість криптогаманців та платформ токенів не використовують WordPress для своєї основної інфраструктури. Однак його часто використовують для функцій, орієнтованих на користувачів, таких як домашні сторінки та служба підтримки клієнтів.
Якщо невеликий або новий проєкт без надійної інженерної команди буде скомпрометований, порушення безпеки можуть залишитися непоміченими. Інфіковані облікові записи WordPress можуть збирати інформацію про користувачів для майбутніх шахрайств або безпосередньо спрямовувати клієнтів на фішингові спроби.
Як залишатися захищеним
На щастя, Patchstack швидко випустив виправлення для цієї конкретної помилки. Але понад 10% користувачів Post SMTP не встановили його. Це означає, що близько 40 000 вебсайтів вразливі до експлуатації, що представляє величезний ризик для безпеки.
Досвідчені користувачі криптовалют повинні залишатися спокійними та дотримуватися стандартних практик безпеки. Не довіряйте випадковим посиланням в електронних листах, дотримуйтесь перевірених проєктів, використовуйте апаратні гаманці тощо. Найбільша відповідальність лежить на самих операторах сайтів.
Якщо невеликий криптопроєкт працює на сайті WordPress без завантаження виправлення від Patchstack, хакери можуть використовувати його для реалізації нескінченного списку шахрайств. Коротше кажучи, користувачі криптовалют повинні бути в безпеці, якщо вони обережні з непопулярними проєктами.
Дисклеймер
Відповідно до принципів проєкту Trust Project, ця авторська стаття представляє точку зору автора і не обов'язково відображає погляди BeInCrypto. BeInCrypto залишається прихильником прозорої звітності та дотримання найвищих стандартів журналістики. Читачам рекомендується перевіряти інформацію самостійно і консультуватися з професіоналами, перш ніж приймати рішення на основі цього контенту. Зверніть увагу, що наші Загальні положення та умови, Полiтика конфіденційності та Дисклеймер були оновлені.
