Cibercriminales explotan vulnerabilidad en sitios WordPress

CIUDAD DE MÉXICO, 21 de agosto de 2024.- ESET, compañía líder en detección proactiva de amenazas, advierte que cibercriminales están atacando a miles de sitios web de WordPress aprovechando vulnerabilidades en plugins populares como PopUp Builder, que les permite tomar el control completo de los servidores.

Tal como se analiza en el último ESET Threat Report, la banda detrás de Balada Injector ha comprometido más de 20 mil sitios web en los últimos meses, distribuyendo JavaScripts maliciosos en distintas oleadas. 

El método de ataque es la explotación de vulnerabilidades presentes en el plugin PopUp Builder, usado para la creación de Pop ups de WordPress. Los operadores detrás de Balada Injector son conocidos por explotar vulnerabilidades de los complementos, y tiene la habilidad de instalar múltiples mecanismos de persistencia.

Ján Adámek, ingeniero sénior de detección de ESET, recomienda comprobar si existen cuentas de administrador maliciosas y archivos apócrifos en el servidor web. Cambiar las credenciales de acceso es una forma de prevenir cualquier intrusión no deseada.

Algunos indicadores de compromiso en WordPress a los que se debe prestar atención son:

• El sitio web está en la lista negra de Google, Bing, etcétera.
• El host deshabilita el sitio.
• La web es marcada por distribuir malware
• Detección de comportamientos no autorizados, como usuarios nuevos desconocidos, por ejemplo.
• El sitio se ve extraño

En caso de detectar actividad maliciosa, ESET comenta que las principales medidas a tomar son:

• Controlar los accesos y revocar aquellos que son dudosos
• Documentar toda actividad sospechosa para tener un reporte de incidente
• Escanear el sitio y su entorno
• Una vez que se logra determinar que el sitio está limpio de la amenaza, cambiar las contraseñas y credenciales de acceso, recordando utilizar contraseñas robustas