WordPress : Plus de 90 000 sites et blogs seraient victimes d'attaques lancées par quatre groupes de hackers
Altérant ainsi leur contenu

Le , par Malick SECK, Community Manager
Nous vous annoncions récemment que la version 4.7.2 de Wordpress a été libérée en urgence afin de corriger trois failles de sécurité dont une faille de type injection SQL et XSS (Cross-site scripting). En effet, cette nouvelle version est sortie juste deux semaines après que l'équipe de WordPress avait annoncé la disponibilité de la version 4.7.1 de son système de gestion de contenu (CMS en anglais) qui intègre la correction de huit (8) failles de sécurité et plusieurs bogues estimés à 62.

D'après les informations recueillies, la dernière version de WordPress en l'occurrence la version 4.7.2 n'a pas permis de corriger les failles de sécurité sur les versions antérieures au 4.7. Selon le cabinet de sécurité Sucuri, l'ensemble des sites et blogs qui n'ont pas encore fait l'objet de mise à jour sont exposés à une vaste campagne d'attaques par injection SQL qui seraient lancées par quatre groupes de hackers. Sucuri affirme qu'en exploitant les failles de sécurité, les hackers sont en mesure de changer le contenu des sites ou blogs infectés ainsi que le titre des pages, cela en y ajoutant des images et leur nom. Aujourd'hui, Google a déjà référencé plus de 90 000 sites déjà infectés via les attaques de l'un des groupes les plus actifs. Pour s'en assurer, il suffit de taper « by w4l3XzY3 » sur le moteur de recherche de la firme de Mountain View.


Sucuri nous informe que les adresses IP utilisées par le groupe de hackers w4l3XzY3 sont les suivantes :
  • 176.9.36.102 ;
  • 185.116.213.71 ;
  • 134.213.54.163 ;
  • 2A00: 1a48: 7808: 104: 9b57: dda6: eb3c: 61e1.

Quant aux trois autres campagnes lancées par les groupes de hackers Cyb3r-Shia, By+NeT.Defacer et By+Hawleri_hackequi, Google a référencé près de 500 victimes pour chacune d'elles. Sucuri lui a identifié les adresses IP ci-après :
  • 37.237.192.22 ;
  • 144.217.81.160.

« WordPress dispose d'une fonctionnalité de mise à jour automatique activée par défaut, en même temps qu'une procédure de mise à jour manuelle en un clic. Malgré cela, plusieurs personnes ne sont pas au courant de ce problème qui affecte l'API REST ou ne sont pas en mesure de mettre à jour leur site. Cela conduit à un grand nombre de sites compromis et altérés », a déclaré Sucuri.

Face à ces menaces, le cabinet de sécurité Sucuri invite tous les utilisateurs à procéder à la mise à jour de leur système de gestion de contenu (CMS). Il est également recommandé de bloquer les adresses IP citées ci-dessus.

Source : Sucuri

Et vous ?

Que pensez-vous de cette vulnérabilité ?
Avez-vous déjà été infectés ?
Avez-vous procédé à la mise à jour de votre version de WordPress ?

Voir aussi
WordPress sort en urgence la mise à jour 4.7.2 pour corriger trois failles de sécurité incluant une faille de type injection SQL et XSS


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Aiekick Aiekick - Membre expérimenté https://www.developpez.com
le 09/02/2017 à 10:46
Ca me fait pensé que récemment j'ai reçu un mail de Google Search Console me disant que mon site wordpress présentait une vulnérabilité lié au fait que je n'était pas en version 4.7.2 et me mettant a dispo des liens pour tester la sécurité et savoir comment s'en prémunir.

Ca faisait très pro, sauf que :

- mon site avait déjà ete mis a jour 2h avant
- l'adresse email d'ou cela vient est assez étrange : sc-noreply@google.com
- il n'y avait aucune relation entre mon mail sur lequel j'ai recu ce mail et mon site.

Il est très facile de générer une entête de mail pour usurper n'importe quel adresse mail, et j'imagine que si j'avais utiliser les liens j'aurais eu des souci.

donc gaffe aux mail de google search console :

voila ce qu'on trouve sur le web : https://blog.sucuri.net/2015/09/mali...fications.html au sujet de ce mail sc-noreply@google.com
Avatar de bilbot bilbot - Membre averti https://www.developpez.com
le 09/02/2017 à 12:18
Du coup ça concerne juste l'api XML rpc ?
Avatar de Zefling Zefling - Membre émérite https://www.developpez.com
le 09/02/2017 à 17:21
Citation Envoyé par Aiekick Voir le message
Ca me fait pensé que récemment j'ai reçu un mail de Google Search Console me disant que mon site wordpress présentait une vulnérabilité lié au fait que je n'était pas en version 4.7.2 et me mettant a dispo des liens pour tester la sécurité et savoir comment s'en prémunir.

Ca faisait très pro, sauf que :

- mon site avait déjà ete mis a jour 2h avant
- l'adresse email d'ou cela vient est assez étrange : sc-noreply@google.com
- il n'y avait aucune relation entre mon mail sur lequel j'ai recu ce mail et mon site.

Il est très facile de générer une entête de mail pour usurper n'importe quel adresse mail, et j'imagine que si j'avais utiliser les liens j'aurais eu des souci.

donc gaffe aux mail de google search console :

voila ce qu'on trouve sur le web : https://blog.sucuri.net/2015/09/mali...fications.html au sujet de ce mail sc-noreply@google.com
Si t'as un compte sur Google Webmasters avec ton domaine associé, ça arrive que leur robot rapporte des erreurs : augmentation soudaine de 404, formulaire de connexion pas en HTTPS, pages mobiles foireuses, etc.
Avatar de Aiekick Aiekick - Membre expérimenté https://www.developpez.com
le 09/02/2017 à 18:01
oui mais la apparemment c'était un faux mail pour phishing
Avatar de Zefling Zefling - Membre émérite https://www.developpez.com
le 09/02/2017 à 20:41
J'inspecte toujours les liens avant de cliquer. Jamais trop prudent.
Avatar de BenaeSan BenaeSan - Nouveau membre du Club https://www.developpez.com
le 13/02/2017 à 15:58
Apres recherche sur google, on est passé à 269 000 sites.
Avatar de Olivier Famien Olivier Famien - Chroniqueur Actualités https://www.developpez.com
le 24/02/2017 à 4:21
Les pirates commencent à exploiter la faille de l’API REST de WordPress pour arnaquer les utilisateurs,
plus d’un million de sites sont vulnérables

Au début du mois de février, plus d’un million de sites web WordPress ont fait les frais de plusieurs campagnes de défaçage. Des pirates ont exploité une faille de l’API REST présente dans les versions 4.7 et 4.7.1 du CMS WordPress afin de modifier les publications sur les sites gérés par le CMS, défigurant ainsi ces sites vulnérables. Ces campagnes de défaçage étaient si intenses qu’il a même été rapporté que plus de 90 000 pages web ont été défacées par seulement quatre groupes de hackers. Et dans plusieurs cas, l’on notait même que certains pirates écrasaient les défaçages effectués par d’autres pirates afin de laisser leurs propres empreintes sur ces sites exposés.

Pour mieux comprendre comment ces pirates sont parvenus à défigurer autant de sites avec succès, il faut savoir que l'API REST introduite dans les versions 4.7 et 4.7.1 permet d’afficher, de modifier, de supprimer ou de créer des publications. Vu qu’elle est activée par défaut dans ces deux versions, les pirates envoient simplement une charge utile (code malicieux) vers l’API REST, ce qui leur permet d’élever leurs privilèges et de modifier les publications sur les sites WordPress vulnérables. Selon Logan Kipp de l’entreprise de sécurité SiteLock, son « confort d’exécution est si faible et si facile que nous voyons des pirates amateurs prendre cet exploit et s’en donner à cœur joie ». Cette faille a même été exploitée en exécutant du code à distance sur ces sites ayant les plug-ins Insert PHP, Exec-PHP ainsi que d’autres plug-ins similaires. En principe ces plug-ins permettent aux utilisateurs d’insérer directement dans les publications du code PHP afin d’effectuer plus facilement des personnalisations. Aussi, en couplant cette faille à ces plug-ins, les attaquants sont en mesure d’exécuter du code PHP tout en injectant du contenu dans les bases de données.

Même si ces campagnes sont assez persistantes, certains experts expliquent qu’elles ne durent pas longtemps, car les pirates trouvent difficilement les moyens de tirer des avantages pécuniaires. Toutefois, depuis quelques jours, l’on note une escalade dans les pratiques de ces tiers malveillants. En effet, ces derniers ont commencé à chercher les voies et moyens pour se faire de l’argent en exploitant cette faille. La trouvaille qu’ils ont eu à faire est de mettre sous les mots laissés sur les sites défigurés des liens renvoyant vers un site de pharmacie en ligne proposant un médicament pour lutter contre le dysfonctionnement érectile. SiteLock qui en a fait la découverte explique que si un internaute venait à entrer ses identifiants de carte de crédit afin d’acheter ce produit, ses identifiants seraient enregistrés et utilisés par ces pirates pour faire des achats ou vendus à d’autres personnes dans le pire des cas.

Pour se prémunir contre ses attaques, il est fortement conseillé de faire la mise à jour de WordPress en passant à la version 4.7.2 disponible depuis le mois de janvier. En principe, les CMS WordPress des utilisateurs devraient être à jour, car la mise à jour automatique est activée par défaut dans le produit. Mais si, comme le souligne Kaspersky, plus de 1,5 million de sites web sont encore exposés à ces attaques, c’est que les utilisateurs ont certainement préféré désactiver cette fonctionnalité.

Pour celui qui fait face à ce cas de défaçage de son site ou un site tiers, il est recommandé, en attendant de faire la dernière mise à jour, de le traiter comme s’il avait affaire à une à l’exploitation d’une vulnérabilité de type XSS en faisant le ménage au niveau des valeurs pointant vers le contrôleur de l’API.

Source : SiteLock, Kaspersky

Et vous ?

Que pensez-vous de cette situation vu qu’un correctif est déjà disponible ?

Est-ce de la négligence de la part des utilisateurs de WordPress ?

Voir aussi

WordPress sort en urgence la mise à jour 4.7.2 pour corriger trois failles de sécurité incluant une faille de type injection SQL et XSS
WordPress : Plus de 90 000 sites et blogs seraient victimes d'attaques lancées par quatre groupes de hackers altérant ainsi leur contenu
WordPress est de loin le CMS le plus ciblé par les cyberattaques en grande partie en raison du mauvais entretien et la négligence des webmasters

La Rubrique Web, Forum Sécurité Web, Cours et tutoriels Web, FAQ Web
Avatar de Geoffrey74 Geoffrey74 - Membre averti https://www.developpez.com
le 24/02/2017 à 7:06
Voila pourquoi j'évite autant que possible l'utilisation de CMS, toujours à la merci d'une faille que peut ne pas être comblée rapidement

371 000 résultat ce matin !

Je l'ai vu à mainte reprise, souvent des "développeur" propose la mise en place d'un site pour quelques centaine d'euros, en posant un wordpress, un thème gratuit et hop, c'est en place.
Au départ tout est à jours (et encore pas toujours), mais avec le temps, aucun suivi n'est fait et le propriétaire n'y connaissant rien, pense que tout est OK et ne se doute même pas que leur site n'est pas à jour et sécurisé.

Vrai question, un webmaster peut il est inquiété pour ce genre de chose ? Même si il n'est pas sous contrat, doit il avoir un devoir de morale envers ses clients ?
Avatar de Jarodd Jarodd - Membre expérimenté https://www.developpez.com
le 24/02/2017 à 9:46
S'il n'est pas sous contrat, que le client n'a pas payé pour de la maintenance, on ne peut rien reprocher au développeur. Il ne va pas bosser gratuit non plus...
Par contre il a un devoir de conseil, il doit avertir son client qu'il existe toujours un risque d'exploitation de failles, notamment si on n'est plus à jour, qui est plus répandu avec un CMS qu'avec une solution développée, au client de faire son choix (c'est pas le même tarif). Il y a certains clients qui demandent qu'on leur mette en place le site, et ensuite ils font eux-même les mises à jour, donc la maintenance n'est pas de la responsabilité du développeur.
Avatar de jfsenechal jfsenechal - Membre actif https://www.developpez.com
le 24/02/2017 à 10:00
les pirates envoient simplement une charge utile vers l’API REST, ce qui leur permet d’élever leurs privilèges
Ca consite en quoi, quelqu'un sait m'expliquer ?
Offres d'emploi IT
Développeur symfony (H/F)
altima - Nord Pas-de-Calais - Roubaix (59100)
Ingénieur réseau emea
ALGOE EXECUTIVE - Rhône Alpes - Lyon (69000)
Chef de Projet - E-COMMERCE (H/F)
TECH-XIA - France - Strasbourg (67000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil