Une campagne de phishing diffusée via les résultats de recherche sponsorisés de Google vise les identifiants d’accès à ManageWP, la plateforme de GoDaddy dédiée à la gestion de parcs de sites WordPress.
Les attaquants déploient une technique d’adversary-in-the-middle (AitM) : la page de connexion factice sert de proxy en temps réel entre la victime et le service légitime de ManageWP.
ManageWP permet une administration centralisée de multiples sites WordPress, évitant les connexions individuelles à chaque tableau de bord. Développeurs web, agences et entreprises en sont les principaux utilisateurs.
Les experts de Guardio Labs signalent que le résultat malveillant apparaît au-dessus du lien authentique pour la requête ‘managewp’, piégeant les internautes dépendants de Google pour localiser l’URL officielle.
Source: Guardio Labs
Le clic sur ce lien faux dirige vers une page d’authentification visuellement identique à l’originale. Les identifiants saisis transitent vers un canal Telegram maîtrisé par l’agresseur.
Différente des pages phishing classiques qui se contentent de voler nom d’utilisateur et mot de passe, cette opération emploie un système AitM actif : l’attaquant se connecte simultanément avec ces données.
La victime voit ensuite une invite bidon pour saisir le code d’authentification à deux facteurs (2FA), que l’opérateur utilise pour pénétrer le compte ManageWP.
Le responsable de recherche chez Guardio Labs, Nati Tal, précise à BleepingComputer que chaque compte gère ordinairement des centaines de sites.
Les statistiques de WordPress.org indiquent que le plugin de ManageWP, conférant le contrôle sur les sites enregistrés, équipe plus d’un million de sites.
Guardio Labs a pénétré l’infrastructure de command-and-control (C2) des assaillants, révélant un menu déroulant pour un flux de phishing interactif et piloté manuellement.
Source: Guardio Labs
Nati Tal ajoute que la plateforme ne relève pas d’un kit commercial standard, mais d’un cadre de phishing privé.
Le code intègre un accord en russe : l’auteur rejette toute responsabilité pour des actes illégaux, ajoute une clause pour usages éducatifs ou de recherche, et interdit les fuites publiques des fichiers ou les attaques contre des systèmes russes.
Guardio Labs a récupéré des données de victimes auprès des attaquants et les contacte pour les avertir. Plus de 200 victimes uniques sont confirmées à ce jour.