Sign1 Malware attaque les plugins WordPress
Une opération malveillante importante, identifiée sous le nom de Sign1, a réussi à infiltrer 39 000 sites Web WordPress au cours des six derniers mois, comme l'ont observé les analystes en sécurité de Sucuri. La campagne implique l'implantation d'injections JavaScript malveillantes dans des sites Web compromis, redirigeant les visiteurs vers des destinations nuisibles. Les chercheurs, utilisant SiteCheck, ont découvert que plus de 2 500 sites avaient été infectés au cours des deux derniers mois seulement.
Sign1 attaque WordPress via des plugins d'insertion de code
Selon le rapport des experts, les plugins permettant l'insertion de code arbitraire sont pratiques pour les propriétaires et les développeurs de sites Web, mais ils peuvent également être exploités par des attaquants dans des environnements compromis. Les acteurs malveillants derrière Sign1 exploitent ces plugins, en particulier ceux permettant des CSS et JS personnalisés, pour insérer leur charge utile nuisible.
Ils intègrent du JavaScript malveillant dans des plugins et des widgets HTML légitimes, en l'encodant à l'aide de techniques XOR pour exécuter des fichiers JavaScript distants. Les URL changent dynamiquement toutes les 10 minutes, ce qui complique les efforts de détection. Notamment, le code malveillant s'abstient de s'exécuter si le visiteur provient de sites Web majeurs comme Google ou Facebook, une tactique utilisée pour échapper à la détection.
Les redirections orchestrées par Sign1 mènent majoritairement vers les domaines VexTrio. Initialement identifiée par le chercheur Denis Sinegubko au cours du second semestre 2023, la campagne a utilisé jusqu'à 15 domaines différents depuis le 31 juillet 2023.
Le nom de la campagne, Sign1, provient d'un paramètre du code utilisé pour extraire et décoder les URL malveillantes. En octobre 2023, les attaquants ont modifié leurs tactiques d'obscurcissement, éliminant le paramètre sign1, indiquant peut-être des attaques par force brute réussies sur des sites Web ciblés.
