Dievochka

Un faux site Wordpress a distribué une soi-disant version “2.6.4” de Wordpress comportant un cheval de troie identifié par Sophos comme un “ backdoor”. Ce site ressemblait au site officiel à s’y méprendre mais il est désormais inaccessible. Il peut néanmoins se présenter sous un nouveau nom de domaine.

Le danger a été découvert par Craig Murphy lorsqu’il a reçu l’alerte “High risk vulnerability for WordPress users”  provenant du faux site wordpress  dans le tableau de bord de son blog. Sa copie d’écran montre l’alerte qui demande à l’utilisateur de télécharger la version 2.6.4 ( qui n’existe pas) et le lien renvoie directement sur le site pirate.

Le faux site avait pour nom de domaine wordpresz.org, où le dernier « s » a été remplacé par un « z ». Les experts de Sophos ont comparé les fichiers des versions 2.6.3 et 2.6.4 : il s’avère que seul le fichier « pluggable.php » est différent. Il est susceptible d’envoyer les données volées à wordpresz.org/tuk.php - Sophos a classé ce fichier comme un cheval de Troie « Troj/WPHack-A qui renvoie des informations vers un site distant.
Peter Westwood, de Wordpress explique sur le blog ” The Register” que

ce sont les blogs  les qui n’ont pas fait la mise à jour 2.6.3 soint visés. Les pirates utilisent un script automatique qui modifie les réglages d’un des modules de l’admin pour envoyer le lien dangereux.  C’est vraisemblablement la faille de la classe php ” Snoopy “ qui a permit cette injection via un script appelant les fonctions « fetch » ou « submit() » dans une url contrôlée par les pirates, faille justement corrigée dans la version 2.6.3

Alors, quelle leçon nous pouvons tirer de cela? Ou comment éviter ce genre d’attaques ?

• La solution la plus simple est de ne télécharger des versions et des plugins qu’à partir du site officiel de WordPress.
• D’autre part il faut faire les mises à jour dès qu’elles sont signalées.
• Et enfin : il faut rester vigilant et toujours bien regarder les liens que l’on utilise avant de cliquer !

Tags: alerte, cheval de Troie, faille, injection, mise à jour, pirate