据bleepingcomputer消息，近期发生了一轮针对通过WordPress搭建的网站的勒索攻击，截止到目前已经有300多个网站遭受了攻击。
![]()
有意思的是，这实际上是一轮假的勒索攻击，在网站显示的也是假的加密通知，攻击者试图通过勒索攻击的恐惧引诱网站所有者支付 0.1枚比特币进行恢复(约 6,069.23 美元)。
如下图所示，这些勒索赎金的通知看起来非常真实，还带有倒数计时器以增加紧迫感，其目的是为了增加网站管理员支付赎金的概率。
![]()
虽然和很多勒索攻击的巨额赎金相比，0.1枚比特币微不足道，但是对于很多个人网站来说依旧是一笔不小的支出。对于攻击者而言，只要上当受骗的网络管理者足够多，累积起的赎金同样不可小觑。
烟雾和镜子
网站安全服务提供商Sucuri发现了这些假勒索攻击，并为其中一名受害者进行应急响应工作。研究之后，Sucuri安全人员发现这些网站并没有被加密，攻击者仅仅修改了一个WordPress 插件，这样就可以显示上图所示的赎金记录和倒计时。
为了让勒索攻击更加逼真，攻击者还将网站所有文章的状态从“post_status”改为“null”，这意味着所有的文章都处于未发布状态，乍一看还以为网站真的被加密了。
攻击者所伪装的一切，都是为了让网站所有者认为，他们的网站真的已经被加密了，从而支付0.1枚比特币的赎金。
一旦用户支付赎金之后，攻击者就会删除插件，并运行命令重新发布文章，使得站点恢复到之前的状态，也让用户认为自己的网站确实是解密了。
看来，为了能够骗到用户拿到赎金，攻击者也是拼了，哪怕技术不够，也要演技来凑，实施了一次假的加密攻击来勒索赎金。
结果还真的有不少网站所有者被骗了。此次应急响应过程中，Sucuri大约跟踪了291个遭受攻击的网站，谷歌搜索显示已经有一些网站恢复了，但还有不少网站依旧显示着勒索赎金。
通过对网络流量日志的进一步分析，Sucuri安全人员现第一个被攻击的IP地址是wp-admin 面板。这意味着攻击者是以管理员身份登录网站，他们要么是暴力破解了密码，要么就是在暗网市场获取了已经泄露的账号和密码。
最后，Sucuri建议用户采取以下安全措施，避免网站再次被黑客攻击：
- 查看站点管理员用户，删除任何虚假帐户，并更新/更改所有wp-admin密码;
- 保护网站wp-admin管理员页面;
- 更改其他接入点密码(包括数据库、FTP、cPanel 等);
- 做好防护墙保护工作;
- 做好备份工作，即使真的被攻击了依旧可以恢复;
- 由于通过WordPress搭建的网站经常被攻击，因此要确保所有已安装的插件都是最新的版本。
