Специалисты по безопасности сообщают о многочисленных случаях обнаружения атак на сайты, которые используют систему управления контентом Joomla (в некоторых случаях — и WordPress).
Нападающий пытается внедрить в код страниц на сайте IFRAME с вредоносной ссылкой с целью дальнейшего проведения атаки drivy-by и установки фальшивых антивирусов. Самое интересное, что это не простая атака, когда сканер массово проверяет все сайты на наличие конкретной уязвимости. Здесь всё сложнее. Судя по всему, говорят исследователи, речь идёт о каком-то более сложном инструменте, потому что он проверяет целый набор различных эксплойтов для Joomla или WordPress на каждом сайте в надежде, что сработает хотя бы один из них.
Joomla — система управления контентом, написанная на PHP и JavaScript, использует MySQL и MsSQL, является свободным программным обеспечением под лицензией GNU GPL. Система Joomla включает в себя различные инструменты для разработки веб-сайта и популярна среди многих веб-мастеров.
Исследователь Джон Бамбенек из компании Bambenek Consulting обращается с призывом присылать файлы PCAP с перехваченными пакетами и логи с серверов, если вы стали свидетелями подобной атаки на своём сервере.
Массовое заражение сайтов на Joomla и WordPress происходит посредством фреймов, которые содержат URL из большого списка постоянно меняющихся доменов, но в адресе часто присутствует часть /nightend.cgi?8. Замечено, что в атаке часто задействованы IP-адреса 78.157.192.72 и 108.174.52.38.
