{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Ein Backdoor in 93 Plugins und Themes von AccessPress, die auf 360.000 Websites verwendet werden.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kriminellen ist es gelungen, einen Backdoor in 40 Plugins und 53 Themes f\u00fcr das Content-Management-System WordPress einzuf\u00fcgen, die von der Firma AccessPress entwickelt werden, die angibt, dass ihre Erweiterungen auf mehr als 360.000 Websites verwendet werden. Die Ergebnisse der Untersuchung des Vorfalls liegen derzeit nicht vor, jedoch wird vermutet, dass der Schadcode im Zuge der Kompromittierung der AccessPress-Website eingebracht wurde, indem die vorgeschlagenen \u00c4nderungen f\u00fcr den Download-Archive bereits ver\u00f6ffentlichter Versionen vorgenommen wurden, da der Backdoor nur im Code vorhanden ist, der \u00fcber die offizielle Website von AccessPress verbreitet wird, aber nicht in denselben Versionen der Erweiterungen, die \u00fcber das Verzeichnis WordPress.org verbreitet werden. <\/p>\n

Das Vorhandensein sch\u00e4dlicher \u00c4nderungen wurde von einem Forscher der Firma JetPack (einem Tochterunternehmen von Automatic, das WordPress entwickelt) w\u00e4hrend der Untersuchung des auf der Website eines Kunden entdeckten Schadcodes festgestellt. Die Analyse der Situation ergab, dass die sch\u00e4dlichen \u00c4nderungen in einer WordPress-Erweiterung vorhanden waren, die von der offiziellen Website von AccessPress heruntergeladen wurde. Auch die anderen Erweiterungen des gleichen Herstellers waren von einer sch\u00e4dlichen Modifikation betroffen, die einen vollst\u00e4ndigen Zugriff auf die Website mit Administratorrechten gew\u00e4hrte. <\/p>\n

Im Rahmen der Modifikation f\u00fcgten die Angreifer eine Datei namens «initial.php» in die Archive der Plugins und Designs ein, die \u00fcber die Direktive «include» in der Datei «functions.php» eingebunden wurde. Um die Spuren zu verwischen, war der schadhafte Inhalt in der Datei «initial.php» in Form eines Base64-kodierten Datenblocks getarnt. Die b\u00f6sartige Einf\u00fcgung, getarnt als Bildabruf von der Seite wp-theme-connect.com, lud direkt den Code des Backdoors in die Datei wp-includes\/vars.php.

\"Ein<\/center>
\"Ein<\/center> <\/p>\n

Die ersten Websites, die sch\u00e4dliche Ver\u00e4nderungen in den Erweiterungen von AccessPress enthielten, wurden im September 2021 entdeckt. Es wird vermutet, dass genau dann der Backdoor in die Erweiterungen eingebracht wurde. Die erste Mitteilung von AccessPress \u00fcber das aufgetretene Problem blieb unbeantwortet, und Aufmerksamkeit wurde auf die Angelegenheit erst erlangt, nachdem das Team von WordPress.org hinzugezogen wurde. Am 15. Oktober 2021 wurden die von dem Backdoor betroffenen Archive von der Website von AccessPress entfernt, und am 17. Januar 2022 wurden neue Versionen der Erweiterungen ver\u00f6ffentlicht. <\/p>\n

Das Unternehmen Sucuri hat separat die Websites untersucht, auf denen anf\u00e4llige Versionen von AccessPress installiert waren, und festgestellt, dass \u00fcber einen Backdoor schadhafte Module hochgeladen wurden, die Spam verschickten und Klicks auf betr\u00fcgerische Websites umleiteten (die Module stammen aus den Jahren 2019 und 2020). Es wird vermutet, dass die Autoren des Backdoors den Zugang zu den kompromittierten Websites verkauften. <\/p>\n

Gestaltungs-Theme, in denen die Einschleusung des Backdoors festgestellt wurde: <\/p>\n