Hackers manipulam 162 mil sites WordPress

Mais de 162 mil sites em WordPress foram sequestrados por hackers para tirar outros sites do ar, de acordo com a companhia de segurança Sucuri. Esse foi mais um ataque de negação de serviço (DDoS), no qual milhares de páginas foram manipuladas para enviar solicitações a uma página maior, sendo bombardeado com mais tráfego do que era capaz de suportar.

Além de fazer um número alto de sites atacarem outro, o ataque chamou a atenção por ter como alvo o protocolo XML-RPC, pelo qual sites em WordPress usam para oferecer serviços como os pingbacks e trackbacks, ferramentas que notificam um blog quando uma postagem está sendo referenciada.

No blog oficial da Sucuri, o diretor técnico Daniel Cid explicou como o ataque foi descoberto: “pudemos constatar um flood attack, que enviava centenas de solicitações ao servidor. Cada consulta possuía um valor aleatório, que forçava a página a atualizar o tempo todo. Isso estava destruindo o servidor rapidamente”, afirmou.

O mais curioso, porém, foi perceber que estes ataques provinham de sites legítimos do WordPress, que enviavam as solicitações em larga escala e tiraram o site do ar. “Um atacante pode usar milhares de sites populares e limpos para fazer seus ataques DDoS enquanto permanece oculto, tudo isso com uma simples solicitação de pingback ao arquivo XML-RPC”, explicou Cid.

A postagem contém várias informações para ajudar os usuários a verificar se seu site está sendo usado para ataques. “Qualquer site do WordPress que tenha o XML-RPC ativado (que já é padronizado) pode ser usado em ataques contra outros sites”, disse o diretor, acrescentando que é necessário desabilitar a função pingback para evitar que seu site seja usado com essa finalidade.