Sizi enfekte eden site son derece normal görünüyordu. Zaten mesele buydu
Ele geçirilen yaklaşık 2.000 WordPress sitesi, sessizce bir zararlı yazılım dağıtım servisine dönüştürüldü. Dağıtılan yazılım kripto cüzdan dosyalarını kopyalıyor, bazı durumlarda makinenin tamamını kilitliyor. Hiçbiri şüpheli görünmüyordu, çünkü hiçbiri şüpheli görünmek için kurulmamıştı.
Araştırmacıların StopAndProtect adını verdiği kampanya, 2.000'e yakın WordPress sitesini ele geçirdi — hepsi en sıradan türden: küçük dükkânlar, bloglar, mahalle esnafı, portfolyo sayfaları. Site sahipleri bilerek hiçbir yanlış yapmadı. Siteleri eskisi gibi çalışmaya, eskisi gibi görünmeye devam etti; sadece ziyaretçilerine fazladan bir şey servis ediyorlardı.
Decrypt'in kampanyaya dair haberine göre bu fazladan şey üç iş yapıyordu: zararlı yazılımı kuruyor, bilgisayarda kripto cüzdan dosyalarını arıyor, bazı durumlarda da fidye yazılımı bırakıyordu — yani diskteki her şeyi şifreleyip karşılığında para isteyen yazılımı. Bir kapı kırma, üç ayrı para kazanma yolu.
İnsanların hacklenme konusunda en çok yanıldığı yer şu: neredeyse hiç kimse internetin karanlık bir köşesinde enfekte olmuyor. İnsanlar yüz kere gördükleri sayfaya benzeyen bir sayfada enfekte oluyor, çünkü bir başkasının sitesi kırılmış ve sessizce başka bir işe koşulmuş. WordPress webin çok büyük bir kısmını çalıştırıyor — küçük işletmelerin, tek kişilik projelerin, "bir kurdum bir daha bakmadım" sitelerinin kısmını. Yani kimsenin güncellemediği kısmı.
İki bin ele geçirilmiş site, iki bin kurban değil. İki bin kapı.
Kripto tarafı ise kulağa geldiğinden daha basit. Coinlerinizi bilgisayarınızdaki bir uygulamada ya da tarayıcı eklentisinde tutuyorsanız, cüzdanınız o makinede bir dosya olarak yaşıyor. Dosyayı kopyalayın, şifreyi ya da tuş kaydını ele geçirin — coinler gider. Borsa yok, destek hattı yok, geri döndürme yok. Bu tür zararlı yazılımların ilk aradığı şey cüzdan dosyaları olmasının nedeni de bu: bilgisayarınızda aynı gün nakde dönen tek ganimet o.
Üstüne eklenen fidye yazılımı ise yedek plan. Çalınacak değerli bir şeyiniz yoktuysa, dosyalarınızı kilitleyip size geri satıyorlar. Ekonomisi acımasız ama gayet anlaşılır: kapıyı kırmanın maliyetini bir kez ödediysen, paraya çevirmenin her yolunu denemek mantıklı.
İki grup var ve genelde aynı insanlar değil. Birincisi: kriptosu, her iş için kullandığı bilgisayardaki bir uygulamada ya da tarayıcı eklentisinde duran herkes — yani ilk birkaç bin lirası coinde olan 35 yaş altındakilerin çoğu. Donanım cüzdanı, elinizde para kalmasının tek sebebi olduğu güne kadar fiyatı fazla şişirilmiş bir USB bellek gibi görünür. İkincisi: WordPress sitesi olan herkes — portfolyo sayfası olan serbest çalışanlar, küçük dükkânlar, 2019'dan beri ayakta olan ve eklentilerine o zamandan beri kimsenin dokunmadığı yan projeler. Siteniz o 2.000'den biriyse hedef siz değilsiniz. Siz silahsınız; hedef, sitenize gelen ziyaretçiler.
Giriş noktasının açıklanmasını takip edin. Bu tür kampanyalar neredeyse her zaman güncellenmemiş tek bir eklenti veya tema üzerinden yürür; güvenlik araştırmacıları hangisi olduğunu yayınladığında site sahipleri için düzeltme beş dakikalık işe döner — ve enfeksiyon sayısı genelde zıplar, çünkü tarama kimsenin saymadığı siteleri bulur. İkinci izlenecek şey: sayının bir sonraki güncellemede 2.000 civarında kalıp kalmayacağı, yoksa tırmanacağı. Kripto tarafında ise çalınan cüzdanların zincir üzerinde toplu halde boşaltıldığının görülüp görülmeyeceği — bu işin gerçekte ne kazandırdığını ancak o zaman öğreneceğiz.
Rahatsız edici olan zararlı yazılım değil. İnternetin yumuşak karnının, altyapı işlettiğinin farkında olmayan insanların elindeki binlerce küçük siteden oluşması. Bir fırının blogu güvenlik sınırı değildir — ama artık öyle.
Kaynaklar: Decrypt, «Nearly 2,000 Hacked WordPress Sites Turned Into Criminal Infrastructure»