Sommario
Le minacce informatiche continuano a colpire il web con attacchi sempre più sofisticati. Un attacco basato su JavaScript di terze parti ha compromesso migliaia di siti WordPress e Laravel, installando quattro backdoor simultanee, mentre una grave vulnerabilità in Kibana permette l’esecuzione arbitraria di codice tramite prototype pollution, mettendo a rischio i sistemi di analisi dei dati basati su Elastic Stack.
Attacco JavaScript: backdoor multiple per il controllo dei siti web
Un file JavaScript dannoso caricato dal dominio cdn.csyndication[.]com è stato utilizzato per infettare oltre 1.000 siti web, sfruttando quattro diverse backdoor per garantire accesso persistente ai server compromessi.
Gli hacker hanno utilizzato il codice per:
- Installare un plugin malevolo su WordPress, introducendo una backdoor PHP.
- Iniettare codice JavaScript dannoso, permettendo agli attaccanti di eseguire ulteriori azioni.
- Aggiungere chiavi SSH non autorizzate, consentendo un accesso remoto diretto.
- Eseguire comandi remoti e scaricare payload aggiuntivi per controllare il server.
Questa tecnica avanzata rende l’attacco difficile da rilevare e rimuovere, poiché le quattro backdoor garantiscono ridondanza e persistenza nel sistema infetto.
Kibana: vulnerabilità critica permette esecuzione di codice remoto
Una vulnerabilità critica (CVE-2025-25015) è stata scoperta in Kibana, la piattaforma di visualizzazione dati di Elastic Stack, permettendo agli aggressori di eseguire codice arbitrario sui sistemi vulnerabili.
Il problema è causato da una prototype pollution, una tecnica che consente di modificare gli oggetti prototipo di JavaScript per ottenere privilegi elevati ed eseguire comandi dannosi. L’exploit avviene attraverso file appositamente creati e richieste HTTP manipolate.
Le versioni interessate sono:
- Da Kibana 8.15.0 a 8.17.1: la vulnerabilità può essere sfruttata da utenti con il ruolo di Viewer.
- Kibana 8.17.1 e 8.17.2: l’attacco è possibile solo per utenti con privilegi avanzati, tra cui fleet-all, integrations-all e actions:execute-advanced-connectors.
Soluzioni e mitigazioni
Elastic ha rilasciato un aggiornamento alla versione Kibana 8.17.3, che risolve la vulnerabilità. Per chi non può aggiornare immediatamente, si consiglia di disabilitare l’integrazione con Assistant, aggiungendo la configurazione:
xpack.integration_assistant.enabled: false
Questa vulnerabilità, classificata con un punteggio CVSS 9.9 (critico), rappresenta una grave minaccia per le aziende che utilizzano Kibana per l’analisi dei dati, rendendo l’aggiornamento una priorità assoluta.
Sicurezza sotto attacco
Gli attacchi informatici stanno prendendo di mira sia siti web basati su WordPress e Laravel sia piattaforme di analisi dati come Kibana, sfruttando vulnerabilità sofisticate per ottenere accesso ai sistemi.
- L’attacco JavaScript ha compromesso migliaia di siti, dimostrando i rischi delle dipendenze di terze parti non controllate.
- La falla in Kibana espone i sistemi di analisi dei dati aziendali a possibili attacchi di esecuzione di codice remoto, con conseguenze devastanti.
Gli utenti e le aziende devono aggiornare immediatamente Kibana e monitorare i propri siti web per individuare backdoor e codice sospetto, adottando strategie di sicurezza avanzate per prevenire futuri attacchi.
