Recentelijk zijn duizenden websites ten prooi gevallen aan hackers door een kwetsbaarheid in verouderde versies van de Popup Builder-plugin. Ondanks dat deze kwetsbaarheid al eind vorig jaar ontdekt was, zijn meer dan 3.300 websites geïnfecteerd met malware. De kwetsbaarheid, bekend als CVE-2023-6000, werd in november vorig jaar ontdekt in Popup Builder-versies 4.2.3 en ouder voor WordPress. Dit resulteerde in een malware-infectie van meer dan vierduizend WordPress-sites via de Balada Injector-campagne.
Het lijkt erop dat niet alle gebruikers van de WordPress-plugin het patchproces hebben doorgevoerd, aangezien opnieuw meer dan 3.300 websites via deze kwetsbaarheid zijn geïnfecteerd. Vooral de laatste drie weken is het aantal geïnfecteerde websites met verouderde versies van de Popup Builder-plugin aanzienlijk toegenomen. Volgens beveiligingsexperts van Securi en PublicWWW fluctueert het aantal gescande geïnfecteerde WordPress-sites momenteel tussen de 1.170 en 3.239.
Aanvalsmethode
De malware-infecties richten zich specifiek op de Custom JavaScript- of Custom CSS-secties van de WordPress-beheeromgeving, waarbij de kwaadaardige code wordt opgeslagen in het ‘wp-postmeta’-databasetabel.
De geïnjecteerde malware, bestaande uit twee varianten, fungeert voornamelijk als een ‘event handler’ voor verschillende Popup Builder-plugin events, zoals ‘sgpb-ShouldOpen’ en ‘sgpb-DidClose’. Deze code activeert bij verschillende acties van de plugin, zoals het openen of sluiten van een popup. Het hoofddoel van de malware is het omleiden van bezoekers van geïnfecteerde WordPress-websites naar kwaadaardige bestemmingen, zoals phishingpagina’s of sites die verdere malware installeren op de systemen van gebruikers.
Aanbevolen acties
Om het risico te minimaliseren wordt dringend geadviseerd om te upgraden naar versie 4.2.7 van de Popup Builder-plugin, waarin de kwetsbaarheid is verholpen. Ongeveer 80.000 actieve websites maken momenteel gebruik van versie 4.1 en ouder, waardoor het aanvalsoppervlak aanzienlijk is.
Daarnaast wordt aanbevolen om de domeinen waarvan de kwaadaardige aanvallen afkomstig zijn te blokkeren, waaronder ’ttincoming.traveltraffic.cc’ en ‘host.cloudsonicwave.com’. Voor getroffen gebruikers wordt aangeraden om de kwaadaardige code uit de custom-secties van de Popup Builder-plugin te verwijderen en hun omgeving te scannen op mogelijke backdoors om verdere infecties te voorkomen. Dit incident markeert niet de eerste keer dat WordPress wordt getroffen door een Balada Injector-campagne. In oktober vorig jaar werden duizenden WordPress-websites getroffen door een vergelijkbare cross-site scriptingkwetsbaarheid die een malware-campagne faciliteerde.
