Сайты, использующие систему управления контентом Drupal, взломанные злоумышленниками путем эксплуатации уязвимостей Drupalgeddon2 и Drupalgeddon3, распространяют майнеры криптовалюты, трояны для удаленного доступа (RAT) и другое вредоносное ПО, выяснили исследователи из компании Malwarebytes.
Ранее в Drupal были исправлены две критические уязвимости CVE-2018-7600 и CVE-2018-7602, позволяющие удаленно выполнить код. Злоумышленники начали эксплуатировать CVE-2018-7600, получившую название Drupalgeddon2, примерно через две недели после выпуска исправления.
CVE-2018-7602, получившая название Drupalgeddon 3, была обнаружена во время анализа CVE-2018-7600 командой безопасности Drupal. Хакеры начали эксплуатировать CVE-2018-7602 сразу после выпуска исправления.
Киберпреступники эксплуатировали уязвимости для перехвата управления серверами и их использования для добычи криптовалюты. Некоторые web-сайты стали частью ботнетов, которые использовались для осуществления DDoS-атак.
Недавно исследователи из компании Malwarebytes провели анализ атак, связанных с Drupalgeddon2 и Drupalgeddon3. По словам экспертов, почти половина взломанных сайтов работала под управлением версии Drupal 7.5.x., а в 30% случаев версии 7.3.x, которая в последний раз обновлялась в августе 2015 года.
«Мы обнаружили различные типы кода, от простого и понятного, до длинного и обфусцированного. Во многих случаях код является динамичным — скорее всего, данный метод, позволяет избежать обнаружения», — отметили исследователи.
В 12% случаев сайты распространяли RAT или ПО для хищения паролей, замаскированное под обновления браузера.

Источник: securitylab.ru