Вредоносная программа WP3.XYZ скомпрометировала свыше 5000 сайтов на WordPress, создавая поддельные учётные записи администраторов, устанавливая вредоносные плагины и крадя данные. Киберэксперт компании «Газинформсервис» Никита Титаренко отмечает, что такие атаки представляют серьёзную угрозу безопасности организаций. Эффективной защитой могут служить превентивные меры и поведенческая аналитика центра мониторинга и реагирования GSOC.

Исследователи из компании c/side выявили вредоносную программу в процессе реагирования на инцидент с одним из клиентов. WP3.XYZ использует домен wp3[.]xyz для кражи конфиденциальных данных. Однако исследователям ещё предстоит выявить первоначальный вектор заражения. Основная цель этого плагина — сбор учётных данных администратора и логов, которые отправляются на сервер злоумышленника в зашифрованном виде, маскируясь под законные запросы изображений.

«Создание нового пользователя с правами администратора и замаскированную под обычные запросы отправку конфиденциальных данных достаточно трудно обнаружить, поскольку для стандартных систем защиты такая активность может считаться легитимной. Для предотвращения подобных атак я рекомендую обратить внимание на услуги центра мониторинга, такого как GSOC. Наши специалисты осуществляют круглосуточный мониторинг событий информационной безопасности на хостах организации, идентифицируют и блокируют подозрительные источники, а также предотвращают развитие атак, минимизируя последствия их эксплуатации», — отметил инженер-аналитик компании Никита Титаренко.

Справка о компании:

ООО «Газинформсервис» — отечественный разработчик программных и программно-аппаратных средств обеспечения информационной безопасности и комплексной инженерно-технической охраны. Компания специализируется на создании систем обеспечения информационной безопасности объектов и ИБ-систем для корпораций энергетической и транспортной отраслей, органов государственной власти, промышленных предприятий, а также учреждений финансового сектора и телекоммуникационных компаний.