Al momento de escribir este post, hay una en curso y altamente distribuida, ataque global sobre instalaciones de WordPress que abrir una grieta cuentas de administrador e inyectar varios scripts maliciosos.
Para darle un poco de historia, hemos escuchado recientemente de una agencia de aplicación de la ley principal de un ataque masivo contra las instituciones financieras de Estados Unidos se originan en nuestros servidores.
Se realizó un análisis detallado del patrón de ataque y se enteró de que la mayoría de los ataques era originaria de CMS wordpress (en su mayoría). Un análisis más detallado reveló que las cuentas de administrador había sido comprometida (de una forma u otra) y scripts maliciosos se han subido en los directorios.
Hoy en día, este ataque está sucediendo a nivel mundial y las instancias de wordpress a través de los proveedores de alojamiento están en la mira. Desde el ataque está muy distribuido en la naturaleza (la mayoría de los IP se utilizan spoofed), es por lo que es difícil para nosotros para bloquear todos los datos maliciosos.
Para asegurarse de que los sitios web de sus clientes están seguros y protegidos contra este ataque, le recomendamos los siguientes pasos:
- Actualizar y actualizar su instalación de WordPress y todos los plugins instalados
- Instale el plugin de seguridad enumerados aquí
- Asegúrese de que su contraseña de administrador es segura y genera preferiblemente al azar
- Otras formas de endurecer una instalación de WordPress se comparten en http://codex.wordpress.org/Hardening_WordPress
Estas medidas adicionales se pueden tomar para asegurar más sitios web de WordPress:
- Desactivar el comando DROP DB_USER. Esto no suele ser necesaria para cualquier propósito en una configuración wordpress
- Retire README y archivos de licencia (importante), ya que esto expone información sobre la versión
- Mueva wp-config.php a nivel de directorio, y cambiar su permiso al 400
- Prevenir la lectura del mundo htaccess
- Restringir el acceso a wp-admin sólo a determinadas IP
- A poco más de plugins – wp-security-scan, wordpress-firewall, ms-user-gestión, wp-el modo de mantenimiento, de seguridad máxima del scanner, wordfence, http://wordpress.org/extend/plugins/better-wp -security /. Estos pueden ayudar en varias ocasiones
Vía: Blog ResellerClub
