Miljoenen WordPress websites aangevallen door lek in File Manager plugin

Het Wordfence team zag afgelopen weekend een dramatische toename van het aantal aanvallen gericht op WordPress File Manager-plug-in. Deze plug-in is geïnstalleerd op meer dan 700.000 WordPress-websites en Wordfence schat in dat ruim 37% of 261.800 websites nog steeds kwetsbare versies van deze plug-in gebruiken op het moment van deze publicatie.

Aanvallers maken misbruik van de File Upload kwetsbaarheid

De aanvallen op deze kwetsbaarheid zijn de afgelopen dagen dramatisch gestegen. Wordfence heeft 4 september 2020, vanaf 09.00 uur aanvallen geregistreerd op meer dan 1 miljoen sites. Sites die deze plug-in wel hebben geïnstalleerd maar momenteel niet gebruiken, worden ook bezocht door bots die kwetsbare versies van de File Manager-plug-in willen identificeren en misbruiken. Zo zijn er totaal 1,7 miljoen aanvallen op sites geregistreerd sinds de kwetsbaarheid voor het eerst werd misbruikt. Hoewel Wordfence meer dan 3 miljoen WordPress-sites beschermt, is dit nog steeds slechts een deel van het WordPress-ecosysteem. Als zodanig is de werkelijke omvang van deze aanvallen waarschijnlijk nog groter dan WordFence kon registeren.

De volgende IP-adressen hebben elk meer dan 100.000 sites aangevallen sinds 3 september 2020:

188.165.217.134
192.95.30.59
192.95.30.137
198.27.81.188
46.105.100.82
91.121.183.9
185.81.157.132
185.222.57.183
185.81.157.236
185.81.157.112
94.23.210.200

Wat kan je doen?

Update uw plug-in
Als u merkt dat de functionaliteit van uw site consistent gebruik van de File Manager-plug-in vereist, zorg er dan voor dat deze is bijgewerkt naar versie 6.9, waardoor dit lek in de plug-in wordt hersteld.

Verwijder File Manager plugin
Als u de plug-in niet actief gebruikt, verwijdert u deze volledig.

Blokkeer de IP adressen via de WordFence firewall
Je kunt aanvallen van de hierboven opgegeven ip adressen verder voorkomen door deze te blokkeren via de WordFence firewall.

Update 10 september: plugin wederom gehackt en steelt nu wachtwoorden!

Er is wederom een beveiligingslek opgetreden bij deze plugin en nu wordt dit gebruikt door de aanvallers om kwetsbare websites met malware te infecteren, die daarmee ook wachtwoorden kan stelen van gebruikers die inloggen. De afgelopen dagen maken aanvallers op grote schaal misbruik van deze kwetsbaarheid. Zo zag Defiant, aanbieder van de Wordfence-plug-in voor WordPress, aanvallen tegen 2,6 miljoen websites voorbijkomen. Getroffen WordPress-sites moeten eerst hun website opschonen voordat ze gebruikers informeren dat hun wachtwoorden mogelijk zijn gestolen.

Beoordeel dit artikel