В последние несколько дней специалисты компании Imperva фиксируют массовые попытки сканирования на предмет уязвимых сайтов, работающих на базе системы управления контентом (CMS) Drupal. Находя таковые, атакующие используют эксплоиты для уязвимостей Drupalgeddon 2 и Dirty COW с целью компрометации серверов, повышения прав до уровня суперпользователя и установки официального SSH-клиента для дальнейшей авторизации на сервере.
Как пояснили эксперты в интервью ZDNet, на первом этапе злоумышленники ищут сайты, подверженные уязвимости Drupalgeddon 2 (исправлена разработчиками в марте текущего года). Применив эксплоит, атакующие получают доступ к ресурсам и изучают локальные конфигурационные файлы на предмет учетных данных. Если в настройках имеется учетная запись с названием "root", с ее помощью злоумышленники пытаются получить доступ к серверу. В случае неудачи атакующие используют эксплоит для уязвимости Dirty COW, позволяющей повысить привилегии до уровня суперпользователя. По данным аналитиков, в 90% случаев злоумышленники устанавливают на взломанные серверы программное обеспечение для майнинга криптовалюты.
Учитывая, что речь идет о хорошо известных уязвимостях, патчи для которых были выпущены довольно давно, владельцы сайтов на Drupal могут легко защититься от подобных атак, установив соответствующие обновления.
