Backdoor в 93 добавки и теми на AccessPress, използвани в 360 хиляди сайта

Нападателите са успели да вградят задна врата в 40 плъгина и 53 теми за системата за управление на съдържанието WordPress, разработена от AccessPress, която твърди, че нейните добавки се използват на повече от 360 хиляди сайта. Резултатите от анализа на инцидента все още не са предоставени, но се предполага, че злонамереният код е въведен по време на компрометирането на уебсайта AccessPress, правейки промени в предлаганите за изтегляне архиви с вече пуснати версии, тъй като задната врата е налице само в кода, разпространяван чрез официалния уебсайт на AccessPress, но отсъства в тези същите версии на добавки, разпространявани чрез директорията на WordPress.org.

Злонамерените промени бяха открити от изследовател в JetPack (подразделение на разработчика на WordPress Automatic), докато проучваше злонамерен код, открит на уебсайта на клиент. Анализът на ситуацията показа, че има злонамерени промени в добавката на WordPress, изтеглена от официалния уебсайт на AccessPress. Други добавки от същия производител също бяха обект на злонамерени модификации, които позволяваха пълен достъп до сайта с администраторски права.

По време на модификацията нападателите добавиха файла „initial.php“ към архивите с плъгини и теми, който беше свързан чрез директивата „include“ във файла „functions.php“. За да обърка пътеката, злонамереното съдържание във файла „initial.php“ беше замаскирано като кодиран base64 блок от данни. Злонамереното вмъкване, под прикритието на получаване на изображение от уебсайта wp-theme-connect.com, директно зареди кода на задната врата във файла wp-includes/vars.php.

Първите сайтове, които включват злонамерени промени в добавките на AccessPress, бяха идентифицирани през септември 2021 г. Предполага се, че именно тогава задната врата е била вкарана в добавките. Първото известие до AccessPress за идентифицирания проблем остана без отговор и AccessPress успя да привлече внимание едва след като включи екипа на WordPress.org в разследването. На 15 октомври 2021 г. архивите, засегнати от задната врата, бяха премахнати от уебсайта на AccessPress и новите версии на добавките бяха пуснати на 17 януари 2022 г.

Sucuri проучи отделно сайтове, на които бяха инсталирани засегнатите версии на AccessPress и идентифицира наличието на злонамерени модули, заредени през заден ход, който изпраща спам и пренасочва преходи към измамни сайтове (модулите са с дата 2019 и 2020). Предполага се, че авторите на задната вратичка са продавали достъп до компрометирани сайтове.

Теми, в които се записва подмяната на задната врата:

• accessbuddy 1.0.0
• accesspress-основен 3.2.1
• accesspress-lite 2.92
• accesspress-mag 2.6.5
• accesspress-паралакс 4.5
• accesspress-ray 1.19.5
• accesspress-root 2.5
• accesspress-staple 1.9.1
• accesspress-store 2.4.9
• Agency-Lite 1.1.6
• aplite 1.0.6
• bingle 1.0.4
• блогър 1.2.6
• construction-lite 1.2.5
• доко 1.0.27
• просвети 1.3.5
• Fashstore 1.2.1
• фотография 2.4.0
• gaga-corp 1.0.8
• gaga-lite 1.4.2
• един интервал 2.2.8
• паралакс-блог 3.1.1574941215
• паралаксома 1.3.6
• punte 1.1.2
• върти се 1.3.1
• пулсации 1.2.0
• scrollme 2.1.0
• sportsmag 1.2.1
• storevilla 1.4.1
• swing-lite 1.1.9
• стартерът 1.3.2
• понеделник 1.4.1
• uncode-lite 1.3.1
• unicon-lite 1.2.6
• vmag 1.2.7
• vmagazine-lite 1.3.5
• vmagazine-news 1.0.5
• zigcy-baby 1.0.6
• zigcy-cosmetics 1.0.5
• zigcy-lite 2.0.9

Добавки, в които е открита подмяна на задната врата:

• accesspress-anonymous-post 2.8.0 2.8.1 1
• accesspress-custom-css 2.0.1 2.0.2
• accesspress-custom-post-type 1.0.8 1.0.9
• accesspress-facebook-auto-post 2.1.3 2.1.4
• accesspress-instagram-feed 4.0.3 4.0.4
• accesspress-pinterest 3.3.3 3.3.4
• accesspress-social-counter 1.9.1 1.9.2
• accesspress-social-icons 1.8.2 1.8.3
• accesspress-social-login-lite 3.4.7 3.4.8
• accesspress-social-share 4.5.5 4.5.6
• accesspress-twitter-auto-post 1.4.5 1.4.6
• accesspress-twitter-feed 1.6.7 1.6.8
• ak-menu-icons-lite 1.0.9
• ap-companion 1.0.7 2
• ap-форма за контакт 1.0.6 1.0.7
• ap-custom-testimonial 1.4.6 1.4.7
• ап-мега-меню 3.0.5 3.0.6
• ap-pricing-tables-lite 1.1.2 1.1.3
• apex-notification-bar-lite 2.0.4 2.0.5
• cf7-store-to-db-lite 1.0.9 1.1.0
• comments-disable-accesspress 1.0.7 1.0.8
• easy-side-tab-cta 1.0.7 1.0.8
• everest-admin-theme-lite 1.0.7 1.0.8
• everest-coming-soon-lite 1.1.0 1.1.1
• everest-comment-rating-lite 2.0.4 2.0.5
• everest-counter-lite 2.0.7 2.0.8
• everest-faq-manager-lite 1.0.8 1.0.9
• everest-gallery-lite 1.0.8 1.0.9
• everest-google-places-reviews-lite 1.0.9 2.0.0
• everest-review-lite 1.0.7
• everest-tab-lite 2.0.3 2.0.4
• everest-timeline-lite 1.1.1 1.1.2
• inline-call-to-action-builder-lite 1.1.0 1.1.1
• product-slider-for-woocommerce-lite 1.1.5 1.1.6
• smart-logo-showcase-lite 1.1.7 1.1.8
• smart-scroll-posts 2.0.8 2.0.9
• smart-scroll-to-top-lite 1.0.3 1.0.4
• total-gdpr-compliance-lite 1.0.4
• total-team-lite 1.1.1 1.1.2
• ultimate-author-box-lite 1.1.2 1.1.3
• ultimate-form-builder-lite 1.5.0 1.5.1
• woo-badge-designer-lite 1.1.0 1.1.1
• wp-1-плъзгач 1.2.9 1.3.0
• wp-blog-manager-lite 1.1.0 1.1.2
• wp-comment-designer-lite 2.0.3 2.0.4
• wp-cookie-user-info 1.0.7 1.0.8
• wp-facebook-review-showcase-lite 1.0.9
• wp-fb-messenger-button-lite 2.0.7
• wp-плаващо меню 1.4.4 1.4.5
• wp-media-manager-lite 1.1.2 1.1.3
• wp-popup-banners 1.2.3 1.2.4
• wp-popup-lite 1.0.8
• wp-product-gallery-lite 1.1.1

Източник: opennet.ru