Blogi na WordPressie pod ostrzałem hakerów

O fali ataków na WordPressa poinformowała między innymi firma HostGator. Jak wynika z udostępnionych przez nią na swoim blogu informacji, całe zjawisko przybrało na sile na początku kwietnia. Po kilku intensywnych dniach sytuacja chwilowo się ustabilizowała, ale nie na długo. Końcówka minionego tygodnia przyniosła kolejne nasilenie zjawiska. Internauci mogli je „odczuć” poprzez wolniej działającego WordPressa lub nawet niemożliwość zalogowania się.

Każdy „admin” może stracić bloga

Celem hakerów było przejęcie haseł do stron działających na silniku WordPressa. Skala ataków jest bardzo duża, o czym może świadczyć fakt, że zaangażowanych w niego było ponad 90 tysięcy adresów IP, a przez pierwszych dziesięć dni kwietnia średnia dzienna liczba prób zgadywania haseł była ponad 2-krotnie wyższa niż w lutym i marcu.

Zdaniem wielu komentatorów był to tzw. atak brute force, czyli atak oparty o algorytm, który ma za zadanie złamanie hasła do danej strony poprzez sukcesywne sprawdzanie wszystkich możliwych kombinacji. Algorytm miał używać takich loginów jak „admin”, „test” czy „Administrator”, które w dalszym ciągu są dosyć popularne wśród prowadzących blogi na WordPressie (choć, jednocześnie, „admin” nie jest już domyślnym loginem po instalacji WordPressa w wersji 3.0 na serwerze). Warto zaznaczyć, że serwis Niebezpiecznik.pl wskazał na to, że niekoniecznie mamy do czynienia z brute force, ponieważ botnet może korzystać ze… słownika.

Zadbaj o ochronę

Jak można się obronić przed atakami? Jak informuje wspomniany Niebezpiecznik, podstawową metodą jest naturalnie ustawienie niestandardowych loginu i hasłą. Dobrym pomysłem jest również wykrywanie nieudanych prób logowania na nasze konto i banowanie adresów IP, z których następuje atak. Można jednocześnie zastrzec możliwość logowania na WordPressie tylko dla wybranych IP.

Sam WordPress na swojej stronie umieścił szereg wskazówek dotyczących bezpieczeństwa. Możliwe jest także podwójne uwierzytelnianie. Ci, którzy mają bloga w domenie wordpress.com mogą włączyć taką funkcję w ustawieniach, natomiast pozostali muszą posiłkować się odpowiednimi wtyczkami.