Globale Angriffskampagne nimmt WordPress- und Joomla-Websites ins Visier

Das australische Cyber Security Centre (ACSC) warnt Unternehmen und Behörden vor einer Kampagne zur Ausnutzung von CMS-Plattformen, die Websites auf Basis beliebter Content-Management-Systeme ins Visier nimmt.

Nach Angaben der Behörde scannen Angreifer aktiv nach verwundbaren Websites und nutzen Schwachstellen in CMS-Plattformen und Plugins aus, um Webshells zu installieren. Nach der Installation erhalten sie die vollständige Fernkontrolle über den kompromittierten Webserver.

Kampagne nimmt mehrere CMS-Plattformen ins Visier

Laut ACSC nutzen die Angreifer Schwachstellen aus, die nicht authentifizierte Datei-Uploads, Remote Code Execution (RCE), Server-Side Request Forgery (SSRF) und unsichere Deserialisierung ermöglichen.

Die Kampagne richtet sich vor allem gegen WordPress und die Erweiterung Joomla Content Editor (JCE).

Forscher haben außerdem Angriffe auf folgende Plattformen beobachtet:

• Craft CMS
• MaxSite CMS
• MetInfo CMS
• Sneeit Framework

Durch die Ausnutzung dieser Schwachstellen können die Angreifer Webshells installieren, ohne gültige Zugangsdaten zu benötigen.

Webshells verschaffen Angreifern Fernzugriff

Sobald eine Webshell installiert wurde, können die Angreifer den betroffenen Server aus der Ferne steuern.

Sie können Websites offline nehmen, Inhalte durch politische Botschaften ersetzen, sensible oder personenbezogene Daten stehlen, weitere Schadsoftware hochladen oder den kompromittierten Server als Ausgangspunkt für Angriffe auf andere Systeme im Netzwerk nutzen.

Nach Angaben des ACSC sind bereits zahlreiche kleine und mittelständische Unternehmen in Australien betroffen.

Die Kampagne beschränkt sich jedoch nicht auf Australien. Die Behörde erklärt, dass auch Organisationen in anderen Ländern Ziel der Angriffe geworden sind.

ACSC warnt vor immer kürzeren Reaktionszeiten

Laut ACSC zeigt die Kampagne, wie schnell Angreifer neu entdeckte Schwachstellen ausnutzen.

Unternehmen haben heute deutlich weniger Zeit, Sicherheitsupdates einzuspielen, bevor Bedrohungsakteure mit der Suche nach verwundbaren Systemen beginnen.

Die Behörde empfiehlt, Webserver-Protokolle, Zugriffsprotokolle und den Netzwerkverkehr auf Anzeichen unbefugter Zugriffe zu überprüfen.

Sicherheitsteams sollten außerdem Benutzerkonten kontrollieren und bei Hinweisen auf eine Kompromittierung ein sauberes Backup wiederherstellen.

Organisationen sollten Systeme aktualisieren und überwachen

Das ACSC fordert Administratoren auf, sowohl die CMS-Plattform als auch sämtliche installierten Plugins stets auf dem neuesten Stand zu halten.

Darüber hinaus empfiehlt die Behörde:

• Den Zugriff auf sensible Dateien und Verzeichnisse einzuschränken.
• Die unbefugte Erstellung von Dateien zu überwachen oder zu blockieren.
• Unerwartete Prozesse auf Webservern zu überwachen.
• Wo möglich, eine Netzwerksegmentierung einzuführen.

Diese Maßnahmen können die Auswirkungen erfolgreicher Angriffe begrenzen und es Angreifern erschweren, sich innerhalb interner Netzwerke weiterzubewegen.

KI dürfte Cyberbedrohungen beschleunigen

Die Warnung folgt auf eine kürzlich veröffentlichte gemeinsame Empfehlung der Nachrichtendienste Australiens, Kanadas, Neuseelands, des Vereinigten Königreichs und der Vereinigten Staaten.

Die Behörden gehen davon aus, dass Fortschritte im Bereich der künstlichen Intelligenz sowohl die Geschwindigkeit als auch das Ausmaß von Cyberoperationen erhöhen werden.

Zudem betonen sie, dass Cyberresilienz heute eine geschäftskritische Aufgabe und nicht mehr nur die Verantwortung der IT-Abteilung ist.

Organisationen, die ihre Sicherheitsmaßnahmen bereits heute stärken, werden besser auf künftige Bedrohungen vorbereitet sein. Wer notwendige Maßnahmen aufschiebt, setzt sich dagegen wachsenden und vermeidbaren Risiken aus.