Le 10 avril 2015:
Cette courbe donne une idée du nombre d'attaques sur les sites WordPress utilisant l'extension Wordfence: environ 300 par secondes en ce moment.
Nous installons Wordfence Security sur tous les sites WordPress. Wordfence nous a signalé par email ce matin une intensification des attaques "brute force" sur les sites WordPress.
Le 5 septembre 2013:
Ci-dessous le film fait par Erik de Vries d'une d'attaque sur un de ses sites sous WordPress depuis un réseau d'ordinateur compromis. L'administrateur du site a installé un logiciel affichant en temps réel sur son écran les tentatives de login bloquées. Ici le blocage a lieu lors de l'utilisation du nom d'utilisateur "admin". L'attaquant suppose qu'admin est utilisé et propose différents mots de passe à partir d'un dictionnaire de mots de passe faibles (bonjour, 123456, etc...).
L'objectif de l'attaquant est le contrôle de l'adminstration du site WordPress, et éventuellement du serveur l'hébergeant. Un serveur est très bien connecté à Internet et permet de lancer d'autres attaques plus puissantes. L'objectif final peut être l'attaque de sites de banques ou de gouvernement.
La solution au niveau du site WordPress est de garder à jour tous les logiciels du site (WordPress et ses extensions), d'installer des extensions spécialisées dans le blocage des attaques, de ne pas utiliser de nom d'utilisateur et des mots de passe "faibles". Au niveau du serveur, les différents utilisateurs doivent être isolés les uns des autres et du système par des configurations telles que SBOX .
Les articles suivant décrivent en Anglais et en détails ce problème:
- WordPress.org: Brute Force Attacks
http://codex.wordpress.org/Brute_Force_Attacks - 11 January 2013, BANK DDOS ATTACKS USING COMPROMISED WEB SERVERS AS BOTS
http://threatpost.com/bank-ddos-attacks-using-compromised-web-servers-bots-011113 - 12 Avril 2013: Mass WordPress Brute Force Attacks? – Myth or Reality
http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html - 15 April 2013: HACKERS USING BRUTE-FORCE ATTACKS TO HARVEST WORDPRESS SITES
http://threatpost.com/hackers-using-brute-force-attacks-harvest-wordpress-sites-041513/77730 - 11 April 2013: Global WordPress Brute Force Flood
http://blog.hostgator.com/2013/04/11/global-wordpress-brute-force-flood/ - http://blog.sucuri.net/2013/04/mass-wordpress-brute-force-attacks-myth-or-reality.html