WordPress-plug-ins voor jarenlange spamcampagne gebruikt
Acht populaire WordPress-plug-ins met honderdduizenden installaties zijn over een periode van 4,5 jaar gebruikt voor het injecteren van spam op allerlei websites. De plug-ins werden door de ontwikkelaars aan de spammer verkocht of ze gingen met hem een partnerschap aan.
Zo kreeg de spammer toegang tot de plug-ins en kon hij zijn code toevoegen of leverde hij die aan. De code injecteerde spam op WordPress-websites die de plug-ins hadden geïnstalleerd. Zo werd er onder andere reclame voor escortbureaus en leningen gemaakt. Bij sommige plug-ins moesten webmasters eerst met vage overeenkomsten akkoord gaan dat hun website voor spam zou worden gebruikt. Bij andere plug-ins gebeurde dit zonder toestemming van de webmaster.
Securitybedrijf Wordfence ontdekte dat de spammer al sinds 2013 op deze manier actief is. Eén van de getroffen plug-ins is Display Widgets, die onlangs al in het nieuws kwam. Daarnaast gaat het om 404 to 301, WP Slimstat, WP Maintenance Mode, Menu Image, NewStatPress, Weptile Image en No Comment. De laatste twee zijn inmiddels uit de database met WordPress-plug-ins verwijderd. De overige plug-ins bevatten inmiddels geen spamcode meer.
Volgens Wordfence is het belangrijk dat eigenaren van een WordPress-site de gebruikersovereenkomst van de plug-in die ze willen installeren helemaal lezen, en dan met name het einde. In het geval van de spammer had die de vermelding voor het plaatsen van spam op websites helemaal aan het einde van de overeenkomst geplaatst. Daarnaast kunnen webmasters bijhouden of plug-ins die ze voor hun WordPress-website hebben geïnstalleerd uit de WordPress-repository zijn verwijderd.
Problemen is dat niet alle updates goed gecontroleerd worden.
Zelfde als de groentenboer verwijten dat de wortels van de supermarkt geel zijn
Omdat? Weet jij software die 100% veilig is?
Daarnaast..... Het is OpenSource die iedereen kan de fouten vinden. Je kan je dan wel afvragen waarom men nog steeds fouten vind in deze software.
Als er juist geupdate en gepatched is, OK, de kernel code is vaak redelijk op orde, de plug-ins en configuraties vaak veel minder,
Men heeft user enumeration aan staan, directory listing enabled, kwetsbare of niet langer bijgehouden jQuery bibliotheken om af te voeren. SRI hashes niet gegenereerd of "same origin" regel niet gehandhaafd.
Oude website technologie, geen best practices toegepast. Kwetsbaarheden in het onderliggende PHP,
cloaking, iFrames, blacklisting.
Voor Magento in de handen van de unsavvy geldt hetzelfde en bij Joomla gaat het ook wel eens mis.
luntrus
Problemen is dat niet alle updates goed gecontroleerd worden.
Oh? Hun sites zijn ook gehackt? Want het gaat hier over een Content Management Systeem wat op servers draait.
Nee Wordpress is niet het probleem net zo min vergelijkbaar als Android in deze, het gaat om plug-ins van derden als je goed leest.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
