SoakSoak – Un malware infecte 100 000 sites WordPress, Google blackliste les domaines

Alerte sécurité concernant tous les webmasters possédant des sites basés sur le CMS WordPress. Selon l’éditeur de sécurité Sucuri, près de 100 000 sites WordPress ont été compromis par le biais d’une vulnérabilité dans l’extension Revslider du CMS Open Source. Google a d’ores et déjà pris la mesure de l’incident en blacklistant plus de 11 000 domaines.

Dans le but d’endiguer la propagation du malware, Google a commencé à blacklister certains sites touchés par la campagne massive de piratage. Après l’alerte déclenchée par le code malveillant CryptoPHP, voila que les administrateurs WordPress vont de nouveau agir vite tout en étant sur le qui-vive.

Celle-ci précise que le vecteur d’attaque est RevSlider, le plugin pour WordPress. Or, précise l’éditeur de sécurité, mettre à jour ce plugin n’est pas si simple, notamment car nombre d’utilisateurs de WordPress ignorent que celui-ci est déployé et souvent livré intégré avec des thèmes. Les sites Internet compromis sont détectés au fur et à mesure comme malveillants par les systèmes de sécurité de Google qui affiche alors un message d’alerte à l’attention de l’internaute lorsque celui-ci essaie de se connecter sur un des 11 000 domaines concernés.

Mode opératoire de l’attaque massive

Le malware SoakSoak procède à la modification du fichier wp-includes/template-loader.php et permet le téléchargement de logiciels malveillants en provenance du nom de domaine SoakSoack.ru pouvant être ensuite chargés dans toutes les pages d’un site WordPress.

Daniel Cid de Sucuri rappelle lui une fois encore que la sécurité par l’obscurité comporte de très sérieux défauts. La faille de l’extension WordPress avait été signalée à son développeur dès septembre. Celui-ci a toutefois choisi de la corriger en toute discrétion, n’informant ainsi pas les utilisateurs de la nécessité de mettre à jour RevSlider. Afin de lutter contre le malware SoakSoak, Sucuri a mis en place un scan de vulnérabilité en ligne permettant de détecter les sites compromis.

Moralité, il faut toujours surveiller et être conscient des éléments externes intégrés parfois très discrètement au sein de plugins et thèmes WordPress, afin de pouvoir réagir assez vite lorsqu’une alerte de sécurité pour un produit en particulier est lancée.