Les sites Web WordPress sont attaqués par une variété de logiciels malveillants Linux non identifiés jusqu'à présent, qui compromettent les systèmes faibles en tirant parti des vulnérabilités de plus de vingt plugins et thèmes.

"Si les sites utilisent des versions obsolètes de ces modules complémentaires, dépourvus de correctifs cruciaux, les pages Web ciblées sont injectées avec des JavaScripts malveillants", a déclaré le fournisseur de sécurité russe Doctor Web. "En conséquence, lorsque les utilisateurs cliquent sur n'importe quelle zone d'une page attaquée, ils sont redirigés vers d'autres sites."

Dans le cadre de ces attaques, une liste de 19 plugins et thèmes différents présentant des failles de sécurité connues est militarisée et utilisée pour lancer un implant qui peut cibler un site web spécifique afin d'augmenter la portée du réseau.

En outre, il a la capacité d'injecter du code JavaScript téléchargé à partir d'un serveur distant afin de rediriger les utilisateurs du site vers le domaine choisi par l'attaquant.

Selon Doctor Web, une deuxième porte dérobée qui utilise un domaine de commande et de contrôle (C2) différent et une liste mise à jour de vulnérabilités affectant 11 plugins supplémentaires.

Les deux variantes comprendraient une méthode non implémentée de "brute-forcing" des comptes administrateurs de WordPress, bien qu'il ne soit pas clair s'il s'agit d'un héritage d'une version antérieure ou d'une fonctionnalité qui n'a pas encore vu la lumière.

Les cybercriminels seront même en mesure d'attaquer avec succès certains des sites Web qui utilisent les versions actuelles des plugins avec des vulnérabilités corrigées, a averti l'entreprise, si une telle fonctionnalité est incluse dans les versions ultérieures de la porte dérobée.

Il est conseillé aux utilisateurs de WordPress de maintenir à jour tous les composants de la plateforme, y compris les modules complémentaires et les thèmes de tiers. Afin de sécuriser leurs comptes, il est également conseillé de choisir des identifiants et des mots de passe forts et distinctifs.