Siber güvenlik araştırmacıları, WooCommerce kullanıcılarını hedef alan büyük çaplı bir kimlik avı kampanyası konusunda uyarıda bulundu. Saldırganlar, sahte bir güvenlik uyarısıyla kullanıcıları "kritik bir yama" indirmeye ikna etmeye çalışıyor, ancak gerçekte bir arka kapı (backdoor) bulaştırıyorlar.
WordPress güvenlik şirketi Patchstack, bu saldırı faaliyetini sofistike olarak tanımladı ve Aralık 2023te tespit edilen, sahte CVE (Ortak Güvenlik Açıkları ve Etkilenmeler) numarası kullanan başka bir saldırı kampanyasının bir varyantı olduğunu belirtti.
Kimlik avı e-postalarında kullanılan sahte sayfalar ve kötü amaçlı yazılımların gizlenme yöntemlerinin birebir benzer olması, bu yeni saldırı dalgasının ya aynı tehdit aktörü tarafından yürütüldüğünü ya da önceki saldırıyı birebir taklit eden yeni bir grup tarafından gerçekleştirildiğini düşündürüyor.
Güvenlik araştırmacısı Chazz Wolcott, "Saldırganlar, hedefledikleri web sitelerinde (aslında var olmayan) 'Kimlik Doğrulaması Olmadan Yönetici Erişimi' güvenlik açığının bulunduğunu iddia ediyor ve kullanıcıları, IDN homograf saldırısı kullanarak resmi WooCommerce web sitesine benzeyen kimlik avı sitelerine yönlendiriyorlar." dedi.
Kimlik avı e-postasını alan kullanıcılar, sözde güvenlik güncellemesini indirmek için "Yamayı İndir" bağlantısına tıklamaya teşvik ediliyor. Ancak bu bağlantı, "woocommėrce[.]com" (gerçek 'e' harfi yerine 'ė' kullanılmış) adlı sahte WooCommerce Marketplace sayfasına yönlendiriyor. Burada "authbypass-update-31297-id.zip" adında bir ZIP arşivi indirilerek kötü amaçlı yazılım sisteme bulaştırılıyor.
