Actores maliciosos están comprometiendo los sitios de WordPress para insertar un script maligno que utiliza los navegadores de los visitantes para realizar ataques distribuidos de denegación de servicio en sitios web ucranianos. MalwareHunterTeam descubrió un sitio de WordPress Español comprometido para usar este script, dirigido a diez sitios web con ataques de denegación de servicio distribuido (DDoS).

Estos sitios web incluyen agencias gubernamentales ucranianas, grupos de expertos, sitios de reclutamiento para la Legión Internacional de Defensa de Ucrania, sitios financieros y otros sitios pro-ucranianos.

La lista completa de sitios web específicos se encuentra a continuación:

https://stop-russian-desinformation.near.page
https://gfsis.org/
http://93.79.82.132/
http://195.66.140.252/
https://kordon.io/
https://war.ukraine.ua/
https://www.fightforua.org/
https://bank.gov.ua/
https://liqpay.ua
https://edmo.eu

Cuando se carga, el JavaScript obligará al navegador del visitante a realizar solicitudes HTTP GET a cada uno de los sitios enumerados, sin más de 1000 conexiones simultáneas a la vez.

Los ataques DDoS se producirán en segundo plano sin que el usuario sepa que están ocurriendo, aparte de una ralentización de su navegador.

Esto permite que los scripts realicen los ataques DDoS mientras el visitante no sabe que su navegador ha sido cooptado para un ataque.

Cada solicitud a los sitios web objetivo utilizará una cadena de consulta aleatoria para que la solicitud no se atienda a través de un servicio de almacenamiento en caché, como Cloudflare o Akamai, y el servidor atacado la reciba directamente.

Por ejemplo, el script DDoS generará solicitudes como las siguientes en los registros de acceso de un servidor web:

"GET /?17.650025158868488 HTTP/1.1"

"GET /?932.8529889504794 HTTP/1.1"

"GET /?71.59119445542395 HTTP/1.1"

El desarrollador Andrii Savchenko afirma que cientos de sitios de WordPress están comprometidos para realizar estos ataques.

"Hay alrededor de cien de ellos en realidad. En todas las vulnerabilidades de WP. Desafortunadamente, muchos proveedores/propietarios no reaccionan". tuiteó Savchenko.

Al investigar el script para encontrar otros sitios infectados, BleepingComputer descubrió que el mismo script está siendo utilizado por el sitio pro-ucraniano, https://stop-russian-desinformation.near.page, que se utiliza para realizar ataques en sitios web rusos.

Al visitar el sitio, los navegadores de los usuarios se utilizan para realizar ataques DDoS en 67 sitios web rusos.

Si bien este sitio aclara que utilizará los navegadores de los visitantes para realizar ataques DDoS contra sitios web rusos, los sitios de WordPress comprometidos utilizan los scripts sin el conocimiento de los propietarios del sitio web o de sus visitantes.

 Fuentes:

https://www.bleepingcomputer.com/news/security/hacked-wordpress-sites-force-visitors-to-ddos-ukrainian-targets/