IT-Sicherheits-Forscher des Georgia Institute of Technology haben schädliche WordPress Plugins auf Zehntausenden von WordPress-Websites identifiziert. Eine Analyse der nächtlichen Backups von mehr als 400.000 einzelnen Webservern hat die Existenz von mehr als 47.000 schädlichen Plugins aufgedeckt, die auf fast 25.000 einzelnen WordPress-Websites installiert sind.
Mehr als 94 % dieser Plugins (weit über 44.000) werden heute noch verwendet. Über 3.600 der identifizierten schädlichen Plugins wurden von legitimen Marktplätzen wie CodeCanyon, Easy Digital Downloads und ThemeForest gekauft.
Der für die Forschung verwendete Datensatz erstreckte sich über einen Zeitraum von acht Jahren, Juli 2012 bis Juli 2020, und zeigte einen stetigen Anstieg der Anzahl installierter schädlicher Plugins.
Den Forschern zufolge kaufen Angreifer vollkommen legitim die Codebasis beliebter Plugins und fügen dann bösartigen Code hinzu. Anschließend warten sie darauf, dass die Plugin-Benutzer die automatischen Updates anwenden.
Zudem tarnen sich Angreifer auch gerne als “gutartige” Plugin-Autoren, um dann Malware über gefälschte Plugins zu verbreiten.
Es wurden auch Fälle von Plugin-zu-Plugin-Infektionen registriert, bei denen ein bösartiges Plugin andere Plugins auf demselben Webserver infiziert und sein Verhalten repliziert.
So kannst du dich vor schadhaften WordPress Plugins und Themes schützen
- Halte als Webseitenbetreiber das CMS WordPress immer auf dem neuesten Stand.
- Bereinige und säubere regelmäßig die WordPress-Datenbank deiner Installation.
- Überprüfe alle WordPress-Core-Files in regelmäßigen Abständen auf Unregelmäßigkeiten und verdächtige Dateien, die meist kürzlich, ausserhalb eines offiziellen WordPress-Updates installiert wurden.
- Verwende nach Möglichkeit keine Page-Builder, keine Plugins und Themes, die millionenfach verkauft wurden. Diese sind besonders häufig von Sicherheitslücken und eingeschleuster Malware betroffen.
- Begrenze die Anzahl der installierten Plugins auf ein absolutes Minimum.
- Checke die Core-Files kostenloser aber auch kostenpflichtiger Plugins und Themes vor der Installation auf Malware.
- Binde jemanden mit sehr guten Programmierkenntnissen und Erfahrung in der WordPress-IT-Sicherheit beim Kauf oder der Entscheidung zur Verwendung eines kostenlosen Plugins in den Prozess mit ein.
- Mache regelmäßig Backups von deiner WordPress-Seite bzw. -Installation.
Viele der zugekauften Funktionen in Form von Plugins und Themes lassen sich auch ohne die Erweiterungen von Fremdanbieter im WordPress CMS einbinden.
Mit Hilfe von JavaScript, PHP und Konfigurationsdateien gibt es eine ganze Reihe manueller Maßnahmen, mit denen WordPress und und das E-Commerce-Plugin WooCommerce sehr funktional, sicher und sauber gehalten werden können.
Wenn du Fragen zum Beitrag oder zum Thema WordPress-Sicherheit hast, freue ich mich auf einen Kommentar von dir : ) Selbstverständlich kannst du auch das Kontaktformular nutzen oder mir eine E-Mail schicken.
[noptin-form id=3968]