WordPress网站被黑客入侵后显示欺诈性保护页面

WordPress 网站被黑客入侵后显示欺诈性 Cloudflare DDoS 保护页面，这些页面被用于分发恶意软件（例如 NetSupport RAT 和 Raccoon Stealer）。

“最近针对 WordPress 网站的 JavaScript 注入高涨，通过弹出虚假的 DDoS 阻止提示，引导受害者下载远程访问木马恶意软件，”Sucuri 的 Ben Martin在上周发表的一篇文章中说。

分布式拒绝服务 (DDoS) 保护页面是必不可少的浏览器验证检测，旨在制止有害的 bot 驱动和恶意流量占用带宽并关掉网站。

在近日的功击活动中，黑客在 WordPress 站点注入虚假的 DDoS 保护弹窗页面，一旦点击那些弹窗最终会导致恶意 ISO 文件（“security_install.iso”）被下载到受害者的系统。

这是通过将三行代码注入 JavaScript 文件（“jquery.min.js”），或者注入网站生效的主题文件来实现的，该文件反过来从远程服务器加载严重混淆的 JavaScript。

下载后，系统会提示用户输入所谓的“DDoS Guard”应用程序生成的验证码，以迫使受害者打开武器化的安装程序文件并访问目标网站。

虽然安装程序确实显示了一个验证码来维持这个诡计，但实际上，该文件是一个名为NetSupport RAT的远程访问木马，它与FakeUpdates（又名 SocGholish）恶意软件家族相关联，并且还秘密安装了Raccoon Stealer，这是一种凭据泄露木马可在地下峰会租用。

这一发展表明，威胁行为者正在投机取巧地在她们自己的功击中，选择这种熟悉的安全机制，以引诱毫无戒心的网站访问者安装恶意软件。

为了减少这种恐吓，网站所有者须要将其网站放在防火墙后，采用文件完整性检测，并强制执行双诱因身分验证 (2FA)。还呼吁网站访问者打开 2FA，避免打开可疑文件，并在 Web 浏览器中使用脚本拦截器来制止 JavaScript 的执行。

“受感染的计算机可用于盗取社交媒体或建行账簿、引爆恐吓软件，甚至将受害者诱入邪恶的‘奴隶’网络、勒索计算机所有者并侵害她们的隐私，这一切都取决于攻击者决定使用损坏设备做哪些。”马丁说。

这不是第一次 ISO 主题文件和 CAPTCHA 检查被拿来传递 NetSupport RAT。

2022 年 4 月，eSentire披露了一个攻击链，该链借助伪造的 Chrome 安装程序来布署木马，从而为执行Mars Stealer铺平了公路。同样， Cofense和Walmart Global Tech详尽介绍的以 IRS 为主题的网路海钓活动涉及借助网站上的虚假 CAPTCHA 拼图来传递相同的恶意软件。