WordPress Sicurezza: il vostro sito è interessante anche per gli hacker

5 Min.
Attacchi hacker su WordPress : Il tuo sito è interessante anche per gli hacker

28,4 per cento dei più grandi siti web del mondo gestiti sotto WordPress . Questa elevata distribuzione rende i siti WP un bersaglio popolare per gli hacker. Soprattutto gli operatori di piccoli siti spesso pensano di essere al sicuro, perché chi hackererebbe un blog con una gamma bassa o senza dati sensibili? Oggi vi mostrerò perché questa è una pericolosa fallacia quando si tratta di WordPress sicurezza.

WordPress è particolarmente interessante per gli aggressori perché usare così tanti lati. Per molte forme di attacco non dipende dalla "qualità" dei bersagli hackerati, ma semplicemente dalla possibilità di infiltrarsi automaticamente nel maggior numero possibile di siti. Come può apparire quando una vulnerabilità viene sistematicamente sfruttata nell'esempio della Vulnerabilità della sicurezza in WordPress 4.7.1. Innumerevoli pagine sono state deturpate in quel momento sulla pagina iniziale con la nota "hacked by".

La società di sicurezza Sucuri aveva trovato il punto debole e l'aveva passato a WordPress E sebbene la questione sia stata affrontata nel WordPress 4.7.2, dopo che l'exploit è stato reso pubblico milioni di pagine violate nei cosiddetti attacchi di deturpazione.

L'esempio mostra che ogni WordPress pagina è interessante per gli aggressori. Nella maggior parte dei casi gli attacchi si svolgono in modo completamente automatico. Oggi ve lo mostrerò, come può apparire un tale attacco, qual è l'obiettivo degli hacker e quali conseguenze può avere per voi e per le vostre partiuna volta che il vostro sito è stato violato con successo.

Gli hacker vogliono dirottare i vostri WordPress siti

Come ho detto: il più delle volte non si tratta affatto di quanto sia grande il sito o di cosa ci sia da raggiungere. Si tratta semplicemente di un attacco automatico a molti siti Web che non hanno colmato determinate lacune di sicurezza. Una volta infettato, il sito può, ad esempio, essere utilizzato in modo improprio per inviare spam o addirittura distribuire malware - ossia software dannoso - ai visitatori del sito.

Gli hacker creano una rete di fornitori di malware o una botnet che possono successivamente utilizzare per il DDoS o Brute Force Attacchi può abusare. La singola pagina è quindi spesso interessante solo come parte di un insieme più grande. E più pagine un aggressore cattura o infetta, più il suo meccanismo di malware diventa prezioso.

Il numero di attacchi WordPress è in aumento

Attualmente il numero di attacchi ai siti Web tende ad aumentare. Secondo Google 2016 32% in più di pagine hackerate Uno dei tipi di attacco più comuni è stato il cosiddetto Brute Force Attacchi. Questo è un tentativo di indovinare la corretta combinazione di login e password. Oppure gli aggressori hanno già delle liste di password che cercano di indovinare.

Ciò è sottolineato anche dalle cifre del fornitore Wordfencedi sicurezza . Da mesi ormai il US American un aumento WordPress costante di questi attacchi.

Attacchi hackerWordPress : Brute Force e attacchi complessi su WordPress siti da dicembre 2016 a gennaio 2017.
A differenza degli Attacchi Complessi, il numero di Brute Force attacchi è in costante aumento. Ciò è dovuto al fatto che queste ultime non dipendono dall'esistenza di specifiche lacune di sicurezza.

Reach è la capitale degli hacker

Questo può essere illustrato molto bene utilizzando l'esempio di una botnet. Una botnet è una rete di siti web dirottati (che possono essere anche apparecchi o router abilitati a Internet) che viene utilizzata per lanciare attacchi DDoS contro siti web o server. Gli elementi della botnet vengono attivati e bombardano il bersaglio a comando con così tante richieste che il sito collassa o il server è sovraccarico.

Più siti web un hacker può aggiungere alla sua botnet, più potente e quindi prezioso diventa. Ma questo significa anche che la cattura delle WordPress installazioni è spesso solo il primo passo per gli hacker. Il secondo passo è quello di creare qualcosa che possa essere monetizzato.

Le tre Is: Informare, identificare, infiltrarsi

In linea di massima, gli hack non specifici WordPress possono essere suddivisi in tre fasi:

Attacchi hackerWordPress : 3 fasi di un prototipo di attacco su WP
Non appena un aggressore viene a conoscenza di una falla nella sicurezza, inizia il vero lavoro: deve scrivere un programma in grado di scoprire se la vulnerabilità esiste e poi sfruttarla automaticamente.

Fase 1: Ottenere informazioni

Nella prima fase, l'aggressore cerca la conoscenza di vulnerabilità note o sconosciute in WordPress . Questo è possibile, ad esempio, attraverso piattaforme come il Database vulnerabilità WPScan possibile.

Con gli attacchi di defacement, di cui ho parlato all'inizio di questo post, un semplice sguardo a WordPress .org è stato sufficiente.

Fase 2: Identificare i vettori di attacco

Ora un attaccante sa da dove cominciare e nella fase 2 deve scrivere una sceneggiatura che gli permetta di scegliere tra la massa di pagine quelle che hanno il punto debole. Con gli attacchi di deturpazione su WordPress 4.7. e 4.7.1 ciò è stato fatto facilmente leggendo la WordPress versione.

Fase 3: Attacchi automatici

Una volta trovato, l'aggressore può - di nuovo automaticamente - hackerare la pagina ed effettuare le (non) modifiche desiderate. Alcuni esempi tipici sono:

  • Furto di dati: Un aggressore tenta di rubare dati sensibili dal vostro sito o dai visitatori del vostro sito. Potrebbero essere indirizzi e-mail o coordinate bancarie - ma in linea di principio tutto ciò che può essere venduto o riutilizzato è interessante. Ad esempio, un hacker può inserire sul vostro sito un modulo falso che ruba tutti i dati inseriti. E tutto questo in un ambiente completamente affidabile e anche criptato con SSL.
  • Rapire il sito: Un aggressore può incorporare il vostro WordPress sito in una botnet. Questo permette all'hacker di prendere il controllo del vostro sito e di lanciare attacchi DoS o DDoS a comando.
  • Infiltrarsi nel codice maligno: Qui è dove viene inserito il codice maligno sul tuo sito. Un aggressore può, ad esempio, abusare dei vostri spazi pubblicitari per i propri scopi o inserire sul vostro sito moduli che rubano i dati personali degli utenti.

Nella maggior parte dei casi WordPress gli hacker costano tempo e denaro

Non è possibile dire in termini generali quali sono i costi sostenuti dagli WordPress hacker e quali conseguenze dirette o indirette può avere un attacco. Ma gli operatori di siti hackerati devono essere sempre preparati a queste tre conseguenze:

1) Costi di ripristino

Ogni giorno si verificano milioni di attacchi a siti WordPress web. Il Pluginproduttore da solo Wordfence misura una media di 35 milioni Brute Force Attacchi e 4,8 milioni di attacchi di exploit quotidiano. In altre parole, non esiste la certezza assoluta. Tutto quello che potete fare è ridurre al minimo le possibilità di essere hackerati e creare meccanismi che vi permetteranno di ripristinare il vostro sito rapidamente se necessario.

Nella migliore delle ipotesi, si ha un Backup della pagina e si può semplicemente importare di nuovo. Se anche i backup sono infetti o non è possibile un ripristino, la situazione sarà più complicata. In questo caso si dovranno sostenere tempi e costi per la rimozione manuale del malware.

2) Perdita di ricavi

A seconda del tipo di codice maligno installato e di quanto tempo il vostro sito deve essere mantenuto, potreste anche incorrere in costi sotto forma di perdita di ricavi da pubblicità e vendite.

3) Perdita di fiducia

Google vede tutto: una pagina hackerata contiene spesso codice dannoso che diffonde malware. Se Google lo rileva - e voi non fate nulla al riguardo - la vostra pagina finirà in una lista nera. Quando il sito web viene richiamato, appare un avviso di sicurezza per il visitatore con un avvertimento contro malware o phishing. Questo può anche far soffrire la vostra posizione di classifica nei motori di ricerca (SERP) e si può perdere un sacco di portata.

Conclusione: gli attacchi sui WordPress -siti sono abbastanza normali

Naturalmente, questo articolo non intende creare un panico immotivato. Ma ciò che si intende illustrare Solo perché avete un "piccolo" sito non significa che non dobbiate affrontare attivamente il tema della sicurezza del sito.

Ad esempio, è importante sapere che la maggior parte delle vulnerabilità sono causate da aggiornamento regolare può essere eliminato. E che un Certificato SSL non protegge il vostro sito dagli attacchi degli hacker.

All'inizio ho detto che le dimensioni del WordPress CMS rendono ogni pagina un potenziale obiettivo. Ma questa dimensione porta con sé anche un vantaggio cruciale: una comunità mondiale di volontari e WordPress dipendenti dell'azienda lavora 24 ore su 24 per renderla più WordPress sicura. Così prima o poi ci sarà una soluzione adeguata per ogni vulnerabilità e ogni problema.

Articoli correlati

Commenti su questo articolo

Scrivi un commento

Il tuo indirizzo mail non sarà pubblicato. I campi obbligatori sono contrassegnati con * marcato.