28,4 procent van de grootste websites wereldwijd draait op WordPress. Deze hoge distributie maakt WP-sites tot een populair doelwit voor hackers. Vooral beheerders van kleine sites denken vaak dat ze veilig zijn, want wie zou een blog met een klein bereik of zonder gevoelige gegevens hacken? Vandaag zal ik je laten zien waarom dit een gevaarlijke misvatting is als het gaat om de beveiliging van WordPress.

WordPress is bijzonder interessant voor aanvallers omdat zoveel sites het gebruiken. Voor veel vormen van aanvallen is niet de "kwaliteit" van de gehackte doelen van belang, maar gewoon het op geautomatiseerde wijze kunnen infiltreren van zoveel mogelijk sites. Hoe het eruit kan zien als een kwetsbaarheid systematisch wordt uitgebuit blijkt uit het voorbeeld van de beveiligingslek in WordPress 4.7.1. In die tijd werden talloze pagina's op de startpagina beklad met de mededeling "gehackt door".

Het beveiligingsbedrijf Sucuri had de kwetsbaarheid gevonden en doorgegeven aan WordPress. En hoewel het probleem werd opgelost in WordPress 4.7.2, werden miljoenen sites gehackt in zogenaamde defacement aanvallen nadat de exploit bekend werd. miljoenen sites werden gehackt in zogenaamde defacement aanvallen..

Dit voorbeeld laat zien dat elke WordPress site interessant is voor aanvallers. In de meeste gevallen verlopen de aanvallen volledig automatisch. Vandaag laat ik je zien hoe zo'n aanval eruit kan zien, wat het doelwit van hackers is en welke gevolgen het kan hebben voor jou en je pagina's als je site eenmaal met succes is gehackt.

Hackers willen je WordPress pagina's kapen

Zoals ik al zei, gaat het er meestal niet om hoe groot de site is of wat er te halen valt. Het is gewoon zo dat een groot aantal websites die bepaalde beveiligingsgaten niet hebben gedicht automatisch worden aangevallen. Als de site eenmaal besmet is, kan hij worden misbruikt om bijvoorbeeld spam te versturen of zelf malware te verspreiden onder de bezoekers van de site.

Op deze manier creëren hackers een netwerk van malwareleveranciers of een botnet dat ze later kunnen misbruiken voor DDoS of brute force aanvallen. De afzonderlijke pagina is daarom vaak alleen interessant als onderdeel van een groter geheel. En hoe meer pagina's een aanvaller kaapt of infecteert, hoe waardevoller zijn malwaremachine wordt.

Aantal aanvallen op WordPress neemt toe

Het aantal aanvallen op websites neemt momenteel toe. Volgens Google werd in 2016 32 procent meer sites werden gehackt dan in 2015. Een van de meest voorkomende soorten aanvallen was de zogenaamde brute force aanval. Hier wordt geprobeerd de juiste combinatie van login en wachtwoord in te voeren door louter giswerk. Of de aanvallers hebben al lijsten met wachtwoorden die ze uitproberen.

Dit wordt ook onderstreept door de cijfers van de beveiligingsleverancier Wordfence. Maandenlang heeft de VS-Amerikanen hebben een gestage toename van deze aanvallen op WordPress geregistreerd.

Reach is de hoofdstad van de hackers

Dit kan heel goed worden geïllustreerd aan de hand van het voorbeeld van een botnet. Een botnet is een netwerk van gekaapte websites (dat kunnen ook internetgeschikte eindapparaten of routers zijn) dat bijvoorbeeld gebruikt wordt om DDoS-aanvallen uit te voeren tegen websites of servers. De elementen van het botnet worden geactiveerd en bestoken het doelwit op commando met zoveel verzoeken dat de site instort of de server overbelast raakt.

Hoe meer websites een hacker in zijn botnet kan opnemen, hoe krachtiger en dus waardevoller het wordt. Maar dit betekent ook dat het kapen van WordPress installaties vaak slechts de eerste stap is voor hackers. De tweede stap is om iets te creëren dat te gelde kan worden gemaakt.

De drie Is: Informeren, identificeren, infiltreren

Grofweg kunnen niet-specifieke WordPress hacks in drie fasen worden verdeeld:

Fase 1: Informatie inwinnen

In de eerste stap zoekt de aanvaller naar kennis over bekende of onbekende kwetsbaarheden in WordPress. Dit kan bijvoorbeeld via platforms als de WPScan database met kwetsbaarheden is mogelijk.

Met de defacement aanvallen die ik aan het begin van het bericht noemde, zou het simpelweg kijken naar WordPress.org voldoende zijn geweest.

Fase 2: Identificeer aanvalsvectoren

Nu weet een aanvaller waar hij moet beginnen en moet hij in fase 2 een script schrijven waarmee hij uit de massa pagina's die pagina's kan kiezen die de kwetsbaarheid hebben. In het geval van de defacement aanvallen op WordPress 4.7 en 4.7.1 was dit eenvoudig mogelijk door de WordPress versie uit te lezen.

Fase 3: Geautomatiseerde aanvallen

Eenmaal gevonden kan de aanvaller - opnieuw automatisch - de pagina hacken en de (on)gewenste wijzigingen aanbrengen. Enkele typische voorbeelden zijn:

• Gegevensdiefstal: Een aanvaller probeert gevoelige gegevens van je site of bezoekers van je site te stelen. Dit kunnen e-mailadressen of bankgegevens zijn - maar in principe is alles wat verkocht of hergebruikt kan worden interessant. Een hacker kan bijvoorbeeld een nepformulier op je site plaatsen dat alle ingevoerde gegevens steelt. En dat in een volledig betrouwbare omgeving en zelfs SSL-gecodeerd.
• Het kapen van de site: Een aanvaller kan je WordPress site integreren in een botnet. Op deze manier stelt de hacker de controle over je site veilig en kan hij bijvoorbeeld op commando DoS- of DDoS-aanvallen uitvoeren.
• Kwaadaardige code injecteren: Dit is wanneer kwaadaardige code op je site wordt geplaatst. Een aanvaller kan bijvoorbeeld je advertentieruimte misbruiken voor zijn eigen doeleinden of formulieren op je site plaatsen die de persoonlijke gegevens van je gebruikers stelen.

In de meeste gevallen kosten WordPress hacks tijd en geld

Het is onmogelijk om in algemene termen te zeggen welke kosten WordPress-hackers maken en welke directe of indirecte gevolgen een aanval kan hebben. Beheerders van gehackte websites moeten echter altijd voorbereid zijn op deze drie gevolgen:

1) Kosten voor restauratie

Dagelijks vinden er miljoenen aanvallen op WordPress sites plaats. Alleen al de plugin fabrikant Wordfence meet voor april 2017 gemiddeld 35 miljoen brute force aanvallen en 4,8 miljoen exploit aanvallen. dagelijks. Met andere woorden: er is geen absolute veiligheid. Je kunt alleen de kans dat je gehackt wordt zo klein mogelijk houden en passende mechanismen creëren waarmee je je site snel kunt herstellen als het ergste gebeurt.

In het beste geval heb je een back-up van de site en kun je die eenvoudig terugzetten. Als de back-ups ook besmet zijn of een restore niet mogelijk is, wordt het ingewikkelder. Dan moet je tijd en geld uitgeven om de malware handmatig te verwijderen.

2) Verlies van omzet

Afhankelijk van wat voor kwaadaardige code werd geïnjecteerd en hoe lang je site onderhouden moet worden, kun je ook kosten maken in de vorm van gederfde inkomsten uit reclame en verkoop.

3) Verlies van vertrouwen

Google ziet alles: Een gehackte pagina bevat vaak kwaadaardige code die malware verspreidt. Als Google dit herkent – en je doet er niets aan – zal je pagina op een blacklist terechtkomen. Wanneer de website wordt opgeroepen, verschijnt er een veiligheidsbericht voor de bezoeker met een waarschuwing tegen malware of phishing. Dit kan er ook toe leiden dat je Search Engine Ranking Position (SERP) eronder lijdt en dat je een aanzienlijk bereik verliest.

Conclusie: Aanvallen op WordPress-sites zijn heel normaal

Natuurlijk is dit artikel niet bedoeld om ongegronde paniek te zaaien. Maar wat het duidelijk moet maken is dit: Dat je een "kleine" site hebt, betekent niet dat je niet actief moet werken aan de beveiliging van je website.

Het is bijvoorbeeld belangrijk om te weten dat de meeste kwetsbaarheden kunnen worden weggenomen door regelmatige updates. En dat een SSL-certificaat je site niet beschermt tegen aanvallen van hackers.

Ik zei in het begin al dat de enorme omvang van WordPress als CMS elke site tot een potentieel doelwit maakt. Maar deze omvang brengt ook een doorslaggevend voordeel met zich mee: een wereldwijde gemeenschap van vrijwilligers en het personeel van WordPress bedrijven werkt de klok rond om WordPress veiliger te maken. En zo is er vroeg of laat een adequate oplossing voor elke kwetsbaarheid en voor elk probleem.