2.000 ele geçirilmiş WordPress sitesi: küresel suç ağı.

Check Point Research, ‘StopAndProtect’ adı verilen bir operasyonun parçası olarak, binlerce ele geçirilmiş WordPress sitesi ve enfekte bilgisayardan oluşan küresel bir suç altyapısını ortaya çıkardığını bildirdi. Araştırma, 2.000 WordPress alan adının ele geçirildiğini ve dünya genelinde 5.000 bilgisayarın bu ağda kullanıldığını gösteriyor. Bulgular, hem WordPress çekirdeğinin hem de üçüncü taraf eklentilerin istismar edildiğine işaret ediyor.

Küresel ağ: 2.000 WordPress alan adı, 5.000 bilgisayar

WordPress bugün web’in yaklaşık yüzde 43’ünü yönetiyor. Bu yaygınlık, zayıf bakımlı kurulumlar söz konusu olduğunda büyük bir saldırı yüzeyi yaratıyor. Araştırmacılar, suç şebekesinin özellikle güncellenmeyen siteleri hedef aldığını, eski sürümlerde biriken açıkların zincir hâlinde kullanıldığını belirtiyor.

Araştırma ekibi, operatörlerin yaptığı bazı hatalar sayesinde izleri sürdü. Kurban ekran görüntüleri ve günlük kayıtları, kullanılan iç araçlar ve ele geçirilen alan adlarına atıf yapan dosyalar, altyapının parçalarını birbirine bağlamayı sağladı. Bu izler, ağın yalnızca fidye yazılımı değil; kötü amaçlı yazılım dağıtımı, gözetim ve veri hırsızlığı gibi amaçlarla da çalıştığını ortaya koydu.

“StopAndProtect, saldırganların bakımsız bırakılmış binlerce WordPress sitesini kötü amaçlı yazılım dağıtımı, gözetim, veri hırsızlığı ve fidye yazılımı için dağıtılmış bir suç altyapısına çevirebildiğini gösteriyor.” — Eli Smadja, Check Point Research

Saldırganlar WordPress’i nasıl kötüye kullandı?

WordPress; tek sayfalık sitelerden bloglara, haber sitelerinden çevrim içi mağazalara kadar geniş bir yelpazede kullanılıyor. Kolay kurulum ve eklenti ekosistemi, yönetimi kolaylaştırsa da ihmale açık kurulumlar için cazip hedefler yaratıyor. İncelemeye göre saldırganlar, hem WordPress çekirdeğindeki hem de üçüncü taraf eklentilerdeki açıkları zincirleyerek siteleri ele geçirdi. Böylece meşru görünen alan adlarını, zararlı yazılım dağıtımı ve botnet yönetimi için “ara istasyon” gibi kullandı.

Araştırmacılar, operasyon içinde fidye yazılımı bileşenlerinin yanı sıra gözetim ve veri sızıntısı araçlarının da tespit edildiğini aktarıyor. Bu tablo, şebekenin tek bir amaçla sınırlı kalmadığını; fırsat bulduğu her vektörü nakde çevirdiğini gösteriyor.

Kimi hedef aldı, risk nerede?

Bir örnekte, beş yıllık eski bir WordPress sürümüyle çalışan bir sitenin yaklaşık 40 güvenlik açığı üzerinden istismar edildiği belirlendi. Özellikle küçük işletmelerin ve kurum içi sayfalarını da WordPress ile yürüten ekiplerin güncelleme döngülerini aksatması, saldırganlara elverişli bir zemin sağlıyor. Türkiye’de de pek çok KOBİ ve içerik sitesi WordPress kullanıyor; bu nedenle düzenli bakım yapılmayan kurulumlar yerel ölçekte de risk yaratıyor.

WordPress’in açık kaynak yapısı ve geniş eklenti pazarı, güçlü bir ekosistem sunuyor. Ancak bir eklenti veya çekirdek sürümü güncel tutulmadığında, zincirin en zayıf halkası tüm siteyi savunmasız bırakabiliyor.

Ne yapmalı? Pratik önlemler

• WordPress çekirdeğini düzenli güncelleyin; otomatik güncellemeleri etkinleştirin.

• Eklentilerin çalıştığını doğrulayın ve en güncel sürümlerini kullanın; gereksiz eklentileri devre dışı bırakın veya kaldırın.

• Saldırı ve olağandışı etkinlikleri izleyen bir web barındırma (hosting) hizmeti tercih edin.

• Cihazlarınızı ve güvenlik yazılımlarınızı güncel tutun.

• Tarayıcı dışında komut kopyalayıp çalıştırmanızı isteyen beklenmedik CAPTCHA ekranlarına itibar etmeyin; bu tür adımlar isteyen sitelerden hemen ayrılın.

“Beklenmedik CAPTCHA’lar sizden kopyala-yapıştır ya da komut çalıştırma gibi adımlar isterse çok dikkatli olun; cihazlarınızı ve güvenlik yazılımlarınızı güncel tutun ve tarayıcı dışı olağan dışı adımlar isteyen sitelerden hemen çıkın.” — Eli Smadja, Check Point Research

S: Sorun yalnızca eklentilerden mi kaynaklanıyor? C: Hayır. Araştırma, hem çekirdekte hem de üçüncü taraf eklentilerdeki açıkların zincirleme kullanıldığını gösteriyor.