Четыре тысячи сайтов майнили криптовалюту из-за зараженного плагина WordPress

11 февраля 2018 года 4000 сайтов, включая ресурсы государственных структур, в течение четырех часов майнили Monero из-за зараженной JS-библиотеки в плагине Browsealoud для WordPress. Компания Texthelp, создавшая плагин, заблокировала его и продолжает расследовать причины произошедшего.

По горячим следам

Один из приятелей рассказал Скотту Гельму, специалисту по информационной безопасности, что на каждой странице сайта ICO установлен криптомайнер. Гельм забил тревогу и вскоре выяснил, что виновата библиотека, загруженная со стороннего ресурса.

Если ты хочешь загрузить криптомайнер на 1000+ веб-сайтов, ты не атакуешь 1000+ веб-сайтов, ты атакуешь 1 веб-сайт, с которого все они загружают контент.

Злоумышленник атаковал Texthelp, поставщика вспомогательных технологий, и изменил один из хранящихся на его сервере файлов. По данным PublicWWW, скомпрометированы 4275 веб-сайтов.

Реакция Texthelp

Компания заявила, что последний год готовилась к подобному инциденту и привела в действие заранее продуманный план. Встроенная система безопасности обнаружила измененный файл в плагине Browsealoud и временно отключила его поддержку. Брешь была активна в течение четырех часов в воскресенье, 11 февраля.

Texthelp заверила, что пользовательские данные не были скомпрометированы или потеряны. Browsealoud будет вне доступа до полудня среды.

Как защититься

Скотт Гельм отметил, что специалисты уже давно нашли способ защититься от подобных атак.

Существует стандартный способ загружать JS-файлы, при котором браузер подцепит его вместе с криптомайнером:

А защита проста:

Это небольшое изменение полностью нейтрализует атаку.