Il y a eu 47 337 plugins malveillants découverts sur 24931 sites Web. De ce nombre, 3 685 ont été vendus sur des marchés légitimes. Cela a rapporté aux attaquants 41 500 $ en revenus illégaux.
Ces résultats sont basés sur un nouvel outil appelé YODA, qui vise à identifier les plugins WordPress escrocs. Il a été développé par des chercheurs du Georgia Institute of Technology.
Comment ont-ils procédé à l’attaque ?
« Les attaquants se sont fait passer pour des auteurs de et ont propagé des logiciels malveillants par la distribution de plugins piratés », ont déclaré les chercheurs dans un article intitulé « Trust Plugins You Must ».
« Le nombre et l’activité des plugins malveillants n’ont cessé d’augmenter au fil des ans. Le pic a eu lieu en mars 2020. Étonnamment, 94% (ou plus) des plugins malveillants qui ont été installés au cours de ces 8 années restent actifs aujourd’hui.
Cette recherche à grande échelle a impliqué l’analyse de plugins datant de 2012. Il a été constaté que les plugins qui coûtent 834 000 $ chacun ont été infectés par des acteurs de la menace.
Quel est le rôle de YODA ?
YODA s’intègre facilement dans les sites Web et les fournisseurs d’hébergement de serveurs Web, ou peut être déployé via un marché de plugins. Le framework peut être utilisé pour détecter les addons cachés ou truqués par des logiciels malveillants et pour déterminer l’origine et la propriété des plugins.
Ceci est réalisé en analysant les codes côté serveur et les métadonnées associées (par exemple, les commentaires) pour identifier les plugins. Ensuite, il effectue une analyse syntaxique et sémantique pour signaler les comportements malveillants.
Qui sont touchés ?
Le modèle sémantique couvre un large éventail de drapeaux rouges, y compris les shells et la fonction d’insertion d’un nouveau message, le code injecté d’exécution protégé par mot de passe, le spam, le balisage d’obscurcissement de code SEO, le téléchargement de logiciels malveillants, le malvertising, les mineurs de crypto-monnaie et le code d’obscurcissement de code.
Ce ne sont là que quelques-unes des conclusions notables.
- L’injection de spam a été rendue possible par la disponibilité de 3 452 plugins sur les marchés de plugins légitimes
- Plus de 18 034 sites Web, 40 533 plugins avaient été infectés après le déploiement.
- Les plugins nulles – thèmes WordPress ou plugins qui ont été modifiés pour télécharger du code malveillant sur les serveurs – représentaient environ 8 525 de tous les add-ons malveillants. Les développeurs ont été trompés d’environ 228 000 $ par les plugins piratés
Les chercheurs ont souligné que YODA peut être utilisé par les propriétaires de et les fournisseurs d’hébergement pour identifier les plugins malveillants sur le serveur. Les développeurs de plugins et les marchés peuvent également vérifier les plugins avant qu’ils ne soient distribués.
