Banyak WordPress disusupi oleh Balada Injector pada bulan September 2023? Serius? Iya, betul, bahkan mencapai lebih dari 17.000 situs WordPress. Ingin tahu lebih detail tentang update terbaru? Yuk langsung simak Simak Update Terbaru tentang Plugin tagDiv!

Dari jumlah 17.000 tersebut, 9.000 situs web dikatakan telah disusupi menggunakan kelemahan keamanan yang baru-baru ini diungkapkan pada plugin tagDiv Composer yang dapat dieksploitasi oleh pengguna yang tidak diautentikasi untuk melakukan penyimpanan skrip lintas situs (XSS) serangan. Ternyata, bukan pertama kalinya Balada Injector menargetkan kerentanan dalam tema premium tagDiv, loh.

Balada Injector adalah operasi berskala besar yang pertama kali ditemukan oleh Doctor Web pada bulan Desember 2022. Pelaku ancaman mengeksploitasi berbagai kelemahan plugin WordPress untuk menerapkan pintu belakang Linux pada sistem yang rentan.

Tujuan utama dari implan ini adalah untuk mengarahkan pengguna situs yang disusupi menuju ke halaman dukungan teknis palsu, kemenangan lotere palsu, dan penipuan push notification. Serangan yang melibatkan Balada Injector ini terjadi dalam bentuk gelombang aktivitas berulang yang terjadi setiap beberapa minggu, dengan lonjakan infeksi terdeteksi pada hari Selasa setelah dimulainya gelombang pada akhir pekan.

Nah, rangkaian pelanggaran terbaru butuh eksploitasi CVE-2023-3169 untuk memasukkan skrip berbahaya dan pada akhirnya membangun akses terus-menerus ke situs dengan mengunggah backdoors, menambahkan plugin berbahaya, dan membuat administrator blog yang jahat.

Sifat skrip yang berkembang pesat dibuktikan dengan kemampuannya memasang backdoor di halaman error 404 situs web yang mampu mengeksekusi kode PHP sewenang-wenang, atau, sebagai alternatifnya, memanfaatkan kode yang tertanam di halaman untuk menginstal plugin wp-zexit yang berbahaya secara otomatis.

Sucuri menggambarkannya sebagai “salah satu jenis serangan paling kompleks” yang dilakukan oleh skrip sebab skrip tersebut meniru seluruh proses pemasangan plugin dari file arsip ZIP dan mengaktifkannya. Fungsi inti plugin sama dengan backdoor, yaitu mengeksekusi kode PHP yang dikirim dari jarak jauh oleh pelaku ancaman.

Gelombang serangan baru yang diamati pada akhir September 2023 butuh penggunaan suntikan kode acak untuk mengunduh dan meluncurkan malware tahap kedua dari server jarak jauh untuk menginstal plugin wp-zexit.

Selain itu, digunakan juga skrip yang dikaburkan yang mana mengirimkan cookie pengunjung ke URL yang dikontrol oleh aktor dan sebagai imbalannya adalah mengambil kode JavaScript yang tidak ditentukan.

Jadi, penempatan mereka dalam file situs yang disusupi dengan jelas menunjukkan bahwa kali ini alih-alih menggunakan kerentanan tagDiv Composer, penyerang justru memanfaatkan backdoor mereka dan pengguna admin jahat yang telah ditanam setelah serangan berhasil terhadap admin situs web.

Sekian update terbaru mengenai plugin tagDiv, semoga bermanfaat 🙂