CVE-2023-6000 XSS-kwetsbaarheid gebruikt om meer dan 3.000 sites te targeten
Een recente toename van het aantal aanvallen afkomstig van een nieuwe malwarecampagne maakt gebruik van een bekende kwetsbaarheid in de WordPress-plug-in Popup Builder, waardoor meer dan 3.300 websites worden getroffen via XSS-aanvallen.
De Balada Injector-campagne, die in januari werd geïdentificeerd, maakte gebruik van een cross-site scripting (XSS)-kwetsbaarheid met de naam CVE-2023-6000, met een CVSS-basisscore van 8,8.
Sucuri meldt een merkbare toename van het aantal aanvallen in de afgelopen drie weken als gevolg van een lopende malwarecampagne die specifiek gericht is op de Popup Builder-kwetsbaarheid in versies 4.2.3 en eerder.
Sucuri's SiteCheck-malwarescan op afstand heeft infecties op meer dan 1.170 websites geïdentificeerd. De domeinen die bij deze aanvallen betrokken waren, werden op 12 februari 2024, minder dan een maand geleden, geregistreerd, waaronder ttincoming.traveltraffic[.]cc en host.cloudsonicwave[.]com.
Bedrijfsmodus
Door gebruik te maken van een bekende kwetsbaarheid in de Popup Builder WordPress-plug-in, injecteren aanvallers kwaadaardige code in de Custom JS- of CSS-sectie van de WordPress-beheerdersinterface, opgeslagen in de wp_postmeta-databasetabel, zoals onthuld door Sucuri aan Cyber Security News.
Deze injecties omvatten verschillende Popup Builder-gebeurtenissen zoals sgpb-ShouldOpen, sgpb-ShouldClose, sgpb-WillOpen, sgpbDidOpen, sgpbWillClose, sgpb-DidClose, overeenkomend met verschillende fasen in het pop-upweergaveproces op de officiële website.
Manieren om de impact van CVE-2023-6000 te beperken
Ter beperking worden eigenaren van niet-gepatchte Popup Builder-plug-ins geadviseerd om de kwetsbare plug-in onmiddellijk bij te werken of een webapplicatie-firewall te gebruiken voor virtuele patches. De schadelijke injectie kan worden verwijderd via de sectie "Aangepaste JS of CSS" van de Popup Builder in de WordPress-beheerdersinterface.
Om herinfectie te voorkomen wordt volgens onderzoekers een grondige scan op zowel client- als serverniveau aanbevolen om eventuele verborgen achterdeurtjes van websites te identificeren. Deze recente malwarecampagne herinnert ons duidelijk aan de risico's die gepaard gaan met het nalaten om gepatchte en bijgewerkte websitesoftware te onderhouden.
