Masywny cyberatak: Strony WordPress wykorzystane do kradzieży kryptowalut

Pamiętam pierwszy hack, którego sam byłem świadkiem – mała, ale ładna strona blogowa nagle zapełniła się dziwnymi pop-upami, a dostęp do panelu administracyjnego został zablokowany. Wtedy myślałem jeszcze: „Ach, to się zdarza tylko innym”. Dopóki nie przydarzyło się mnie. I właśnie dlatego ten ostatni cyberatak jest tak niepokojący: nie dotyczy on jakichś niszowych, podejrzanych stron, tylko platform, których miliony z nas używają codziennie. Stron WordPress, które przecież powinny być jednym z najbardziej godnych zaufania źródeł w internecie.
W dużym cyberataku hakerzy przejęli prawie 2 000 stron WordPress i przekształcili je w infrastrukturę przestępczą. Napastnicy wykorzystali zhakowane strony do rozprzestrzeniania złośliwego oprogramowania, kradzieży plików portfeli kryptowalutowych oraz przeprowadzania ataków ransomware. Za tą operacją stoi tak zwana StopAndProtect – nazwa, która brzmi niemal zbyt niewinnie jak na to, co się wówczas działo. Bo co zbudowali cyberprzestępcy, to nie żaden drobny akt bandytyzmu, lecz dobrze zorganizowaną broń do ataków.
Jak przebiegały ataki: Od luk w zabezpieczeniach po kradzież kryptowalut
Badacze bezpieczeństwa z firmy Sucuri odkryli tę kampanię i przeanalizowali metody atakujących. To, co mnie szczególnie zaszokowało, to fakt, że hakerzy wykorzystali znaną lukę w WordPressie – taką, która powinna była zostać dawno załatana. Uzyskali oni uprawnienia administratora, zainstalowali ukryte „tylne drzwi” i w ten sposób przejęli pełną kontrolę nad stronami. Od tego momentu atakujący mieli już łatwą robotę: wykorzystywali zhakowane strony, aby niepostrzeżenie przekierowywać odwiedzających na zainfekowane serwery.
A co tam było rozprowadzane? Złośliwe oprogramowanie takie jak Raccoon Stealer lub RedLine Stealer – programy, które celowo przeszukują wrażliwe dane. Nie tylko dane logowania czy ciasteczka przeglądarki, ale przede wszystkim pliki portfeli kryptowalutowych. Dla przestępców bowiem kryptowaluty stanowią ogromną pokusę: są anonimowe, trudne do prześledzenia i dla ofiar często bezpowrotnie utracone.
Kradzież kryptowalut: Gdy cyfrowy portfel zostaje opróżniony
Szczególnie podstępnym posunięciem było to, że hakerzy nie koncentrowali się wyłącznie na „gorących” portfelach (tzw. hot wallets), które są stale podłączone do internetu, ale starali się również wydobyć prywatne klucze z cold



storage – plików portfeli przechowywanych offline, na przykład na pendrive’ach lub dyskach twardych. Choć z pozoru to najbezpieczniejsza metoda przechowywania, to jeśli cyberprzestępcy mają dostęp do komputera, na którym znajdują się te pliki, mogą je wydobyć. Skradzione dane były następnie sprzedawane na czarnych rynkach Darknetu lub używane bezpośrednio do nielegalnych transakcji.
Eksperci szacują, że sprawcy dzięki tej metodzie mogli już zebrać setki tysięcy euro. Jednak – jak to zwykle bywa w przypadku cyberprzestępczości – liczba ta jest prawdopodobnie znacznie wyższa. Wiele ofiar nawet nie zdaje sobie sprawy, że zostały zaatakowane, lub nie zgłasza incydentu z obawy przed utratą reputacji.
Ransomware: Gdy szantażyści uderzają
Oprócz kradzieży aktywów kryptowalutowych cyberprzestępcy sięgnęli również po klasyczny szantaż. Szyfrowali oni serwery zhakowanych stron i żądali okupu w bitcoinach lub innych kryptowalutach. Ponieważ wiele stron WordPress hostuje treści krytyczne dla działalności – czy to sklep internetowy, blog generujący dochody z reklam, czy platforma do obsługi klientów – wielu administratorów było zmuszonych zapłacić okup, aby odzyskać swoje dane.
Wysokość żądań okupu wynosiła zwykle kilkadziesiąt tysięcy dolarów, a cyberprzestępcy wykorzystywali anonimowość kryptowalut, aby ukryć swoją tożsamość. To perfidny plan, który pokazuje, jak bezczelne stały się te ataki.
WordPress: Stały cel cyberataków
Operacja StopAndProtect niestety nie jest przypadkiem jednostkowym. WordPress jest jednym z najpopularniejszych systemów zarządzania treścią na świecie – i właśnie to czyni go tak atrakcyjnym celem dla atakujących. Od małych blogów po duże platformy e-commerce: ponad 40% wszystkich stron w internecie działa na WordPressie. Ale to właśnie ta powszechność sprawia, że staje się on tak kuszący dla cyberprzestępców.
Najczęstsze luki? Przestarzałe wtyczki, brakujące aktualizacje zabezpieczeń lub słabe hasła. Wielu administratorów stron bagatelizuje ryzyko i nie regularnie aktualizuje swoich systemów. Tymczasem nawet proste środki, takie jak uwierzytelnianie dwuskładnikowe czy regularne tworzenie kopii zapasowych, mogą stanowić skuteczną obronę.
Co możesz zrobić: Proste kroki, duże efekty
Wiem, że jako laik można czuć się przytłoczonym wszelkimi ostrzeżeniami dotyczącymi bezpieczeństwa. Ale nie musisz być ekspertem