Четыре тысячи сайтов майнили криптовалюту из-за зараженного плагина WordPress
11 февраля 2018 года 4000 сайтов, включая ресурсы государственных структур, в течение четырех часов майнили Monero из-за зараженной js-библиотеки в плагине Browsealoud для WordPress. Компания Texthelp, создавшая плагин, заблокировала его и продолжает расследовать причины произошедшего.
11 февраля 2018 года 4000 сайтов, включая ресурсы государственных структур, в течение четырех часов майнили Monero из-за зараженной JS-библиотеки в плагине Browsealoud для WordPress. Компания Texthelp, создавшая плагин, заблокировала его и продолжает расследовать причины произошедшего.
По горячим следам
Один из приятелей рассказал Скотту Гельму, специалисту по информационной безопасности, что на каждой странице сайта ICO установлен криптомайнер. Гельм забил тревогу и вскоре выяснил, что виновата библиотека, загруженная со стороннего ресурса.
Если ты хочешь загрузить криптомайнер на 1000+ веб-сайтов, ты не атакуешь 1000+ веб-сайтов, ты атакуешь 1 веб-сайт, с которого все они загружают контент.
Злоумышленник атаковал Texthelp, поставщика вспомогательных технологий, и изменил один из хранящихся на его сервере файлов. По данным PublicWWW, скомпрометированы 4275 веб-сайтов.
Реакция Texthelp
Компания заявила, что последний год готовилась к подобному инциденту и привела в действие заранее продуманный план. Встроенная система безопасности обнаружила измененный файл в плагине Browsealoud и временно отключила его поддержку. Брешь была активна в течение четырех часов в воскресенье, 11 февраля.
Texthelp заверила, что пользовательские данные не были скомпрометированы или потеряны. Browsealoud будет вне доступа до полудня среды.
Как защититься
Скотт Гельм отметил, что специалисты уже давно нашли способ защититься от подобных атак.
Существует стандартный способ загружать JS-файлы, при котором браузер подцепит его вместе с криптомайнером:
А защита проста:
Это небольшое изменение полностью нейтрализует атаку.
1К открытий1К показов
Из найма в IT к управлению собственной компанией Алексей Лихацкий шел более 10 лет. Из года в год индустрия менялась. Появлялись не только новые требования к специалистам, но и профессии. Рассказали о внешних и внутренних переменах рынка и их влиянии на нужные для специалиста навыки.
Описали четыре техники увеличения безопасности кода и подобрали примеры к каждой из них. В статье вы познакомитесь не только с универсальными приемами, но и специфическими – для серверов и ботов.
Проверьте свою способность находить уязвимости в игре МТС RED
Иск подала COPA. Ассоциация стремится доказать, что Райт не является автором кода и не имеет авторских прав на белую книгу. А также просит суд запретить инженеру утверждать, что он — Сатоши Накамото.