Sathurbot, le robot qui attaque votre WordPress

Le code malveillant Sathurbot s’attaque aux sites sous WordPress. L’outil égraine les mots de passe possibles en passant via des ordinateurs piratés.

Sathurbot Versus WordPress ! Plusieurs lecteurs m’ont fait part de tentatives de piratages de leur WordPress. Ces lecteurs de ZATAZ.COM cherchaient à savoir comment le pirate avait pu passer par leur administration alors qu’ils étaient certains d’avoir un mot de passe correct.

Il faut savoir que depuis quelques mois des codes malveillants ont pour mission de taper dans les pages permettant d’accéder à l’administration de votre WordPress. Certains hommes politiques, candidats à la présidentielle française comme Macron, Fillon, Hamon, … ont très certainement étaient visés par ce bot, même après la correction des nombreuses failles.

Ces logiciels pirates, dont le plus actif en ce moment se nomme Sathurbot, égrainent, une par une, toutes les possibilités de mot de passe possibles : 92829 ; 92828 ; 92827 … Bilan, avec du temps, mais aussi des complices involontaires, Sathur finira par trouver le précieux sésame. En ce qui concerne le login de connexion, rien de plus simple pour le trouver. La commande ‘?author=0‘ fournira l’information au pirate, et à ses outils, si vous n’avez pas eu l’idée de lui bloquer la lecture.

Sathurbot infiltre votre PC pour attaquer les WordPress

Sathur bot est un code malveillant qui s’invite dans les ordinateurs des internautes amateurs de films contrefaits. Le pirate a d’abord infiltré des sites Internet. Mission, cacher de fausses pages de téléchargement de films. Comme pour les fausses pharmacies qui vendent des contrefaçons de viagra, les faux « shop » de maillots de football ou de Nike Pas chère, le pirate Sathurbot, lui, propose son cheval de Troie.

C'est la crise ! Le site des Amis de Nicolas Sarkozy commercialise des #Nike contrefaites sans le savoir ! #cybersécurité @zataz pic.twitter.com/clN5PCFX5m

— Damien Bancal (@Damien_Bancal) February 1, 2017

L’ensemble des liens torrents proposés sont orientés vers le même torrent. Derrière ce fichier, un exécutable qui va télécharger plusieurs autres codes sur plusieurs sites web. Une fois installé dans l’ordinateur de sa victime, Sathurbot peut se mettre à jour, télécharger et démarrer d’autres exécutables. La société de sécurité informatique Eset précise que ce microbe 2.0 connaît des petits frères baptisés Boaxxe, Kovter ou encore Fleercivet.

Dans son installation, Sathur sauvegarde sur le pc infiltré un dictionnaire de 5000 mots de passe. Plusieurs bots exploités par SB tentent ensuite différents identifiants de connexion pour le même site. Chaque robot ne tente qu’une seule connexion par site et par login. Cette conception permet de s’assurer que le robot soit pris pour une connexion légitime et ne finira pas sur une liste noire. L’attaque vise l’API XML-RPC de WordPress [wp.getUsersBlogs]. Depuis juin 2016, date de la première visibilité de cette attaque, plus de 20 000 ordinateurs étaient utilisés par Sathurbot.

Pour se protéger

Pour se protéger, il est fortement conseillé d’utiliser la double authentification à l’entrée de votre WordPress. Un fichier Htaccess dans le dossier /admin/ n’est pas négligeable. Si vous n’avez pas besoin de l’API XML-RPC, désactivez la. A noter que le pirate semble être un amoureux des domaines en .XYZ. L’ensemble de son attaque (sites torrent, espaces de commande et zones de téléchargement) tourne via des sites avec ce suffixe. Les sites piégés sont : Badaboomsharetracker.xyz ; Webdatasourcetraffic.xyz ; Sharetorrentsonlinetracker.xyz ou encore Webtrafficsuccess.xyz.

Sathurbot s’attaque aussi à Drupal, Joomla, PHP-NUKE, phpFox et DedeCMS.