Въздействие на бекдор в 93 плъгина и теми на AccessPress, използвани на 360 хиляди сайта

Киберпрестъпниците успели да вградят задна врата в 40 плъгина и 53 теми за управление на съдържание в WordPress, разработвани от компанията AccessPress, която твърди, че допълненията ѝ се използват на над 360 хиляди сайта. Резултатите от анализа на инцидента все още не са публикувани, но се предполага, че зловредният код е бил внедрен по време на компрометиране на сайта на AccessPress, като били направени промени в архивите, предлагани за изтегляне с вече издадени версии, тъй като задна врата присъства само в кода, разпространяван през официалния сайт на AccessPress, но липсва в същите издания на допълненията, разпространявани през каталога WordPress.org.

Наличието на зловредни изменения бе открито от изследовател на компанията JetPack (подразделение на компанията Automatic, която разработва WordPress) по време на проучване на зловреден код, открит на сайта на един от клиентите. Анализът на ситуацията показа, че зловредните изменения са били налични в WordPress допълнение, изтеглено от официалния сайт на AccessPress. Останалите допълнения на същия производител също се оказаха уязвими на зловредна модификация, позволяваща пълен достъп до сайта с административни права.

По време на модификацията киберпрестъпниците добавили в архивите с плъгини и теми файл „initial.php“, който бил свързан чрез директивата „include“ в файла „functions.php“. За да заблудят следите, зловредното съдържание в файла „initial.php“ било замаскирано под формата на блок от данни в кодировката base64. Зловредната вставка, представяща се като достъп до изображение от сайта wp-theme-connect.com, зареждала в файла wp-includes/vars.php директно кода на задната врата.

Първите сайтове, включващи зловредни изменения в допълненията на AccessPress, бяха открити през септември 2021 година. Предполага се, че именно тогава в допълненията е била вградена задната врата. Първото уведомление до компанията AccessPress относно открития проблем остана без отговор и внимание, а AccessPress успя да получи решение само след намесата на екипа на WordPress.org. На 15 октомври 2021 година архивите, засегнати от задната врата, бяха премахнати от сайта на AccessPress, а на 17 януари 2022 година бяха публикувани нови версии на допълненията.

Компания Sucuri е провела независимо проучване на сайтове, на които са инсталирани уязвими версии на AccessPress и е установила наличието на заредени злонамерени модули чрез бекдор, които разпространяват спам и пренасочват трафик към измамни сайтове (модулите са датирани от 2019 и 2020 година). Предполага се, че авторите на бекдора са продавали достъп до компрометирани сайтове.

Темите, в които е регистрирано внедряване на бекдор:

• accessbuddy 1.0.0
• accesspress-basic 3.2.1
• accesspress-lite 2.92
• accesspress-mag 2.6.5
• accesspress-parallax 4.5
• accesspress-ray 1.19.5
• accesspress-root 2.5
• accesspress-staple 1.9.1
• accesspress-store 2.4.9
• agency-lite 1.1.6
• aplite 1.0.6
• bingle 1.0.4
• bloger 1.2.6
• construction-lite 1.2.5
• doko 1.0.27
• enlighten 1.3.5
• fashstore 1.2.1
• fotography 2.4.0
• gaga-corp 1.0.8
• gaga-lite 1.4.2
• one-paze 2.2.8
• parallax-blog 3.1.1574941215
• parallaxsome 1.3.6
• punte 1.1.2
• revolve 1.3.1
• ripple 1.2.0
• scrollme 2.1.0
• sportsmag 1.2.1
• storevilla 1.4.1
• swing-lite 1.1.9
• the-launcher 1.3.2
• the-monday 1.4.1
• uncode-lite 1.3.1
• unicon-lite 1.2.6
• vmag 1.2.7
• vmagazine-lite 1.3.5
• vmagazine-news 1.0.5
• zigcy-baby 1.0.6
• zigcy-cosmetics 1.0.5
• zigcy-lite 2.0.9

Плъгини, в които е установено внедряване на бекдор:

• accesspress-anonymous-post 2.8.0 2.8.1 1
• accesspress-custom-css 2.0.1 2.0.2
• accesspress-custom-post-type 1.0.8 1.0.9
• accesspress-facebook-auto-post 2.1.3 2.1.4
• accesspress-instagram-feed 4.0.3 4.0.4
• accesspress-pinterest 3.3.3 3.3.4
• accesspress-social-counter 1.9.1 1.9.2
• accesspress-social-icons 1.8.2 1.8.3
• accesspress-social-login-lite 3.4.7 3.4.8
• accesspress-social-share 4.5.5 4.5.6
• accesspress-twitter-auto-post 1.4.5 1.4.6
• accesspress-twitter-feed 1.6.7 1.6.8
• ak-menu-icons-lite 1.0.9
• ap-companion 1.0.7 2
• ap-contact-form 1.0.6 1.0.7
• ap-custom-testimonial 1.4.6 1.4.7
• ap-mega-menu 3.0.5 3.0.6
• ap-pricing-tables-lite 1.1.2 1.1.3
• apex-notification-bar-lite 2.0.4 2.0.5
• cf7-store-to-db-lite 1.0.9 1.1.0
• comments-disable-accesspress 1.0.7 1.0.8
• easy-side-tab-cta 1.0.7 1.0.8
• everest-admin-theme-lite 1.0.7 1.0.8
• everest-coming-soon-lite 1.1.0 1.1.1
• everest-comment-rating-lite 2.0.4 2.0.5
• everest-counter-lite 2.0.7 2.0.8
• everest-faq-manager-lite 1.0.8 1.0.9
• everest-gallery-lite 1.0.8 1.0.9
• everest-google-places-reviews-lite 1.0.9 2.0.0
• everest-review-lite 1.0.7
• everest-tab-lite 2.0.3 2.0.4
• everest-timeline-lite 1.1.1 1.1.2
• inline-call-to-action-builder-lite 1.1.0 1.1.1
• product-slider-for-woocommerce-lite 1.1.5 1.1.6
• smart-logo-showcase-lite 1.1.7 1.1.8
• smart-scroll-posts 2.0.8 2.0.9
• smart-scroll-to-top-lite 1.0.3 1.0.4
• total-gdpr-compliance-lite 1.0.4
• total-team-lite 1.1.1 1.1.2
• ultimate-author-box-lite 1.1.2 1.1.3
• ultimate-form-builder-lite 1.5.0 1.5.1
• woo-badge-designer-lite 1.1.0 1.1.1
• wp-1-slider 1.2.9 1.3.0
• wp-blog-manager-lite 1.1.0 1.1.2
• wp-comment-designer-lite 2.0.3 2.0.4
• wp-cookie-user-info 1.0.7 1.0.8
• wp-facebook-review-showcase-lite 1.0.9
• wp-fb-messenger-button-lite 2.0.7
• wp-floating-menu 1.4.4 1.4.5
• wp-media-manager-lite 1.1.2 1.1.3
• wp-popup-banners 1.2.3 1.2.4
• wp-popup-lite 1.0.8
• wp-product-gallery-lite 1.1.1

Източник: opennet.ru