CVE-2023-6000 XSS-sårbarhed brugt til at målrette mod over 3.000 websteder

Et nyligt opsving i angreb, der stammer fra en ny malware-kampagne, udnytter en velkendt sårbarhed i WordPress-plugin Popup Builder, der påvirker mere end 3.300 websteder gennem XSS-angreb.

Balada Injector-kampagnen, der blev identificeret i januar, udnyttede en cross-site scripting (XSS) sårbarhed mærket CVE-2023-6000, med en CVSS-basisscore på 8,8.

Sucuri rapporterer en mærkbar stigning i angreb i løbet af de sidste tre uger fra en igangværende malware-kampagne, der specifikt er rettet mod Popup Builder-sårbarheden i version 4.2.3 og tidligere.

Sucuris SiteCheck ekstern malware-scanning har identificeret infektioner på over 1.170 websteder. Domænerne forbundet med disse angreb blev registreret den 12. februar 2024 for mindre end en måned siden, inklusive ttincoming.traveltraffic[.]cc og host.cloudsonicwave[.]com.

Driftsmåde

Ved at udnytte en kendt sårbarhed i Popup Builder WordPress-pluginnet, injicerer angribere ondsindet kode i Custom JS- eller CSS-sektionen af WordPress-administrationsgrænsefladen, gemt i wp_postmeta-databasetabellen, som afsløret af Sucuri til Cyber Security News.

Disse injektioner dækker forskellige Popup Builder-begivenheder såsom sgpb-ShouldOpen, sgpb-ShouldClose, sgpb-WillOpen, sgpbDidOpen, sgpbWillClose, sgpb-DidClose, svarende til forskellige stadier i popup-visningsprocessen på det officielle websted.

Måder at afbøde virkningen af CVE-2023-6000

For at afhjælpe det, rådes ejere af popup Builder-plugins til ikke-patchede til at opdatere det sårbare plugin omgående eller anvende en webapplikationsfirewall til virtuel patching. Den skadelige injektion kan fjernes via Popup Builders sektion "Custom JS eller CSS" i WordPress admin-grænsefladen.

For at forhindre geninfektion anbefales grundig scanning på både klient- og serverniveau for at identificere eventuelle skjulte webstedsbagdøre, ifølge forskere. Denne seneste malware-kampagne tjener som en skarp påmindelse om de risici, der er forbundet med at forsømme at vedligeholde lappet og opdateret webstedssoftware.