La atakantoj sukcesis enigi malantaŭan pordon en 40 kromaĵojn kaj 53-temojn por la WordPress-enhavadministrada sistemo, evoluigita de AccessPress, kiu asertas, ke ĝiaj aldonaĵoj estas uzataj en pli ol 360 mil retejoj. La rezultoj de la analizo de la okazaĵo ankoraŭ ne estis disponigitaj, sed oni supozas, ke la malica kodo estis enkondukita dum la kompromiso de la retejo AccessPress, farante ŝanĝojn al la arkivoj proponitaj por elŝuti kun jam liberigitaj eldonoj, ĉar la malantaŭa pordo ĉeestas. nur en la kodo distribuita tra la oficiala AccessPress retejo, sed forestas en tiuj la samaj eldonoj de aldonaĵoj distribuitaj tra la WordPress.org dosierujo.
La malicaj ŝanĝoj estis malkovritaj de esploristo ĉe JetPack (dividado de WordPress-programisto Automatic) dum ekzamenado de malica kodo trovita en la retejo de kliento. Analizo de la situacio montris, ke malicaj ŝanĝoj ĉeestis en la WordPress-aldonaĵo elŝutita de la oficiala retejo AccessPress. Aliaj aldonaĵoj de la sama produktanto ankaŭ estis kondiĉigitaj de malicaj modifoj kiuj permesis plenan aliron al la retejo kun administrantorajtoj.
Dum la modifo, la atakantoj aldonis la dosieron "initial.php" al la arkivoj kun kromaĵoj kaj temoj, kiu estis konektita per la direktivo "inkluzivi" en la dosiero "functions.php". Por konfuzi la spuron, la malica enhavo en la dosiero "initial.php" estis kamuflita kiel base64 kodita bloko de datumoj. La malica enmeto, sub la alivestiĝo akiri bildon de la retejo wp-theme-connect.com, rekte ŝargis la malantaŭpordan kodon en la dosieron wp-includes/vars.php.
La unuaj retejoj, kiuj inkludis malicajn ŝanĝojn al AccessPress-aldonaĵoj, estis identigitaj en septembro 2021. Oni supozas, ke tiam la malantaŭa pordo estis enmetita en la aldonaĵojn. La unua sciigo al AccessPress pri la identigita problemo restis nerespondita, kaj AccessPress povis atentigi nur post implikado de la WordPress.org-teamo en la esploro. La 15-an de oktobro 2021, la arkivoj trafitaj per la malantaŭa pordo estis forigitaj de la AccessPress retejo, kaj novaj versioj de la aldonaĵoj estis publikigitaj la 17-an de januaro 2022.
Sucuri aparte ekzamenis retejojn sur kiuj tuŝitaj versioj de AccessPress estis instalitaj kaj identigis la ĉeeston de malicaj moduloj ŝarĝitaj per malantaŭa pordo, kiu sendis spamon kaj redirektis transirojn al fraŭdaj retejoj (la moduloj estis datitaj 2019 kaj 2020). Oni supozas, ke la aŭtoroj de la malantaŭa pordo vendis aliron al kompromititaj retejoj.
Temoj en kiuj la malantaŭporda anstataŭigo estas registrita:
- accessbuddy 1.0.0
- accesspress-baza 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-paralax 4.5
- accesspress-radio 1.19.5
- accesspress-root 2.5
- accesspress-staple 1.9.1
- accesspress-vendejo 2.4.9
- agentejo-lite 1.1.6
- aplite 1.0.6
- bingle 1.0.4
- bloganto 1.2.6
- konstruo-lite 1.2.5
- doko 1.0.27
- lumigi 1.3.5
- fashvendejo 1.2.1
- fotado 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- unu-spaco 2.2.8
- paralakso-blogo 3.1.1574941215
- paralaksoso 1.3.6
- punte 1.1.2
- turni 1.3.1
- ondeto 1.2.0
- scrollme 2.1.0
- sportsmag 1.2.1
- storevilla 1.4.1
- svingo-lite 1.1.9
- la-lanĉilo 1.3.2
- la-lundo 1.4.1
- uncode-lite 1.3.1
- unikono-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-novaĵoj 1.0.5
- zigcy-bebo 1.0.6
- zigcy-kosmetikaĵoj 1.0.5
- zigcy-lite 2.0.9
Kromaĵoj en kiuj malantaŭporda anstataŭigo estis detektita:
- accesspress-anonymous-post 2.8.0 2.8.1 1
- accesspress-custom-css 2.0.1 2.0.2
- accesspress-custom-post-type 1.0.8 1.0.9
- accesspress-facebook-auto-post 2.1.3 2.1.4
- accesspress-instagram-feed 4.0.3 4.0.4
- accesspress-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- accesspress-social-icons 1.8.2 1.8.3
- accesspress-social-login-lite 3.4.7 3.4.8
- accesspress-social-share 4.5.5 4.5.6
- accesspress-twitter-auto-post 1.4.5 1.4.6
- accesspress-twitter-feed 1.6.7 1.6.8
- ak-menuo-ikonoj-lite 1.0.9
- ap-kunulo 1.0.7 2
- ap-kontakto-formo 1.0.6 1.0.7
- ap-kutima-atesto 1.4.6 1.4.7
- ap-mega-menuo 3.0.5 3.0.6
- ap-pricing-tables-lite 1.1.2 1.1.3
- apex-notification-bar-lite 2.0.4 2.0.5
- cf7-store-to-db-lite 1.0.9 1.1.0
- comments-disable-accesspress 1.0.7 1.0.8
- easy-side-tab-cta 1.0.7 1.0.8
- everest-admin-theme-lite 1.0.7 1.0.8
- everest-coming-soon-lite 1.1.0 1.1.1
- everest-comment-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- everest-galerio-lite 1.0.8 1.0.9
- everest-google-places-reviews-lite 1.0.9 2.0.0
- everest-review-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-call-to-action-builder-lite 1.1.0 1.1.1
- product-slider-for-woocommerce-lite 1.1.5 1.1.6
- smart-logo-showcase-lite 1.1.7 1.1.8
- smart-scroll-posts 2.0.8 2.0.9
- smart-scroll-to-top-lite 1.0.3 1.0.4
- total-gdpr-compliance-lite 1.0.4
- total-team-lite 1.1.1 1.1.2
- finfina-aŭtoro-skatolo-lite 1.1.2 1.1.3
- ultimate-form-builder-lite 1.5.0 1.5.1
- woo-badge-designer-lite 1.1.0 1.1.1
- wp-1-glitilo 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-user-info 1.0.7 1.0.8
- wp-facebook-review-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menuo 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banners 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-produkto-galerio-lite 1.1.1
fonto: opennet.ru