Let’s Encrypt-logs vermoedelijk gebruikt voor infecteren WordPress-installaties
De afgelopen weken wisten aanvallers meerdere schone WordPress-installaties met malware te infecteren, waarbij ze vermoedelijk logs of informatie van certificaatautoriteit Let's Encrypt gebruikten. Na de installatie van WordPress moet die nog worden geconfigureerd. Het gebeurt al lange tijd dat aanvallers erin slagen om nog niet geconfigureerde WordPress-installaties te kapen.
"Dit kan omdat WordPress geen beperkingen voor het configureren kent zodra de bestanden op de website zijn geladen kun je die met een database op een andere server configureren, zodat je geen toegang tot bestaande inloggegevens voor de website hoeft te hebben", stelt securitybedrijf White Fir Design. In de meeste gevallen zullen mensen na de installatie van WordPress die ook meteen configureren.
De afgelopen weken verschenen echter meerdere meldingen van WordPress-gebruikers die stelden dat hun installatie werd geïnfecteerd kort na het aanvragen van een tls-certificaat voor hun website bij Let's Encrypt. Let's Encrypt is een certificaatautoriteit die gratis tls-certificaten uitgeeft die zijn te gebruiken voor het opzettten van een beveiligde verbinding en het identificeren van de website.
Let's Encrypt maakt gebruik van Certificate Transparency (CT), een systeem dat de uitgifte van tls-certificaten logt en monitort. Hiervoor slaat Let's Encrypt alle uitgegeven certificaten in CT-logs op. Het vermoeden is nu dat aanvallers deze CT-logs continu bekijken om zo WordPress-websites te vinden die nog niet zijn geconfigureerd. De aanvallers configureren deze websites en voegen een malafide script toe. Het gaat om een webshell waarmee aanvallers op afstand code kunnen uitvoeren. De gecompromitteerde WordPress-sites worden vervolgens voor het uitvoeren van ddos-aanvallen gebruikt.
Binnen 5 minuten kreeg ik al queries terwijl er geeneens wp op draaide.
Ze gaan er gewoon vanuit dat met hagel schieten werkt.
"De aanvallers configureren deze websites" dat betekent dus dat je direct niet meer in kunt loggen omdat ze een username en password kiezen.
Ik heb in het verleden honderden websites opgezet, en hoewel ik er altijd vanuit ging dat vrijwel niemand die nieuwe domeinnaam bezocht maakte ik de installatie altijd direct af.
En daarna configureerde ik de beveiliging. (iThemes Security OF WordFence).
"De aanvallers configureren deze websites" dat betekent dus dat je direct niet meer in kunt loggen omdat ze een username en password kiezen.
Ze plaatsen alleen die .query.php file wat een backdoor (webshell) is. Waarmee ze je server voor DDoS
gebruiken. Ik heb na veel zoekwerk geen enkele aanwijzing gevonden dat ze nog meer met de machine uithalen.
(wat ook lastig is omdat de webserver uiteraard onder een restricted user draait en niet zomaar overal files mag openen)
Maar zelf kun je dus nog gewoon inloggen en je site opzetten.
Overzicht verschillende CT Logs: https://crt.sh/monitored-logs
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
