Созданный для обеспечения безопасности плагин All-In-One Security (AIOS) для WordPress сам оказался предвестником опасности для своих пользователей.

AIOS был разработан для предотвращения брутфорса, предупреждения при использовании дефолтных кред администратора, пресечения бот-атак и устранения спама в комментариях, но как выяснилось плагин, который используется более чем на миллионе сайтов WordPress, регистрирует пароли в виде открытого текста при попытке входа в базу данных.

О проблеме сообщил бдительный пользователь c0ntr07, который судя по комментариям на форуме был в шоке, что плагин безопасности выдает такую базовую ошибку security 101, не говоря уже о несоответствии целому пулу стандартов NIST 800-63-3, ISO27000, CIS, HIPAA, GDPR.

Уязвимости подвержена версия 5.1.9 AIOS и на этой неделе разработчики из Updraft, поддерживающие плагин, выпустили версии 5.2.0 для устранения проблемы и удаления зарегистрированных паролей из базы данных.

Рекомендуется немедленно обновиться до версии 5.2.0, дабы обезопасить свои ресурсы.

Учитывая, что еще не далее, чем вчера почти никто из пользователей не обновился до последней версии сотни тысяч пользователей находятся под угрозой, а злоумышленники на 99.9% штудируют сеть в поисках учеток скомпрометированных ресурсов.

Ресерчеры F.A.C.C.T. продолжают расчехлять новые кампании RedCurl, специализирующейся на коммерческом шпионаже и краже корпоративной документации.

Новые активности обнаружены в рамках реагирования на инцидент еще в ноябре 2022 года и были направлены на один из российских банков, на оторый киберпреступники нацеливались дважды.

Первый раз RedCurl атаковала с помощью таргетированных фишинговых рассылок от имени крупного российского маркетплейса, а затем - через компанию-подрядчика. Причем последняя увенчалась успехом.

RedCurl попала на карандаш еще в конце 2019 года и, предположительно, состояла из русскоговорящих хакеров.

Группа активна, как минимум, с 2018 года и привлекла внимание экспертов тем, что проводила тщательно спланированные атаки на частные компании из различных отраслей, используя уникальный инструментарий.

За последние четыре с половиной года RedCurl провела не менее 34 атак на компании из Великобритании, Германии, Канады, Норвегии, Украины, Австралии.

Больше половины атак - 20: пришлись на Россию.

Среди жертв были строительные, финансовые, консалтинговые компании, ритейлеры, банки, страховые, юридические организации.

С момента заражения до кражи данных RedCurl проводит в сети жертвы от 2 до 6 месяцев.

Новое исследование F.A.С.С.T. раскрывает атаки RedCurl, в предпринимавшиеся в ноябре 2022 и в мае 2023 года.

В качестве первоначального вектора проникновения в инфраструктуру использовались фишинговые письма с вредоносным ПО под видом предложений с рекламой корпоративных скидок, но безуспешно благодаря средствам защиты.

Потерпев неудачу RedCurl переключились на подрядчика банка, использовав тактику Supply Chain.

Получив доступ к компьютеру его сотрудника, предположительно, через фишинговую рассылку, хакеры смогли проникнуть на общий сетевой диск с документами клиента, что позволило попасть в инфраструктуру банка.

Из иструментария RedCurl использовался загрузчик для первого этапа заражения под названием RedCurl.SimpleDownloader, специально созданный под новую кампанию с использованием бренда маркетплейса.

По мнению F.A.C.C.T., это новый полноценный инструмент группировки, который будет модифицироваться и применяться в других атаках RedCurl.

На следующем этапе кампании использовался модернизированный загрузчик RedCurl.Downloader для подгрузки RedCurl.Extractor.

Эта ПО предназначена для установки агента RedCurl.FSABIN, который, в свою очередь, предоставляет злоумышленнику удаленный контроль над зараженной машиной.

И без того достаточно уникальное для русскоязычной киберкриминальной среды инструменты и методы RedCurl продолжают развиваться и модернизироваться, образуя единую длинную цепочку, что несет ощутимые риски для компаний.

Полный разбор новых атак, индикаторы компрометации и MITRE ATT&CK - представлены в отчете.