{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Un backdoor en 93 plugins y temas de AccessPress, utilizados en 360,000 sitios web.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Los atacantes lograron incrustar un backdoor en 40 plugins y 53 temas para el sistema de gesti\u00f3n de contenido WordPress, desarrollados por la empresa AccessPress, que afirma que sus complementos son utilizados en m\u00e1s de 360 mil sitios. Los resultados del an\u00e1lisis del incidente a\u00fan no se han proporcionado, pero se supone que el c\u00f3digo malicioso fue inyectado durante la vulneraci\u00f3n del sitio de AccessPress, realizando cambios en los archivos propuestos para descarga de versiones ya publicadas, ya que el backdoor est\u00e1 presente solo en el c\u00f3digo distribuido a trav\u00e9s del sitio web oficial de AccessPress, pero est\u00e1 ausente en las mismas versiones de los complementos distribuidos a trav\u00e9s del cat\u00e1logo de WordPress.org. <\/p>\n

La existencia de cambios maliciosos fue detectada por un investigador de la empresa JetPack (una divisi\u00f3n de la empresa Automatic, que desarrolla WordPress) durante el estudio del c\u00f3digo malicioso encontrado en el sitio de uno de los clientes. El an\u00e1lisis de la situaci\u00f3n mostr\u00f3 que los cambios maliciosos estaban presentes en el complemento de WordPress descargado desde el sitio oficial de AccessPress. Otros complementos del mismo fabricante tambi\u00e9n resultaron estar afectados por la modificaci\u00f3n maliciosa, que permit\u00eda obtener acceso completo al sitio con derechos de administrador. <\/p>\n

Durante la modificaci\u00f3n, los atacantes a\u00f1adieron en los archivos de plugins y temas un archivo «initial.php», que fue incluido mediante la directiva «include» en el archivo «functions.php». Para encubrir sus rastros, el contenido malicioso en el archivo «initial.php» se camufl\u00f3 como un bloque de datos en codificaci\u00f3n base64. La inserci\u00f3n maliciosa, bajo la apariencia de obtener una imagen del sitio wp-theme-connect.com, cargaba directamente el c\u00f3digo del backdoor en el archivo wp-includes\/vars.php.

\"Un<\/center>
\"Un<\/center> <\/p>\n

Los primeros sitios que inclu\u00edan cambios maliciosos en los complementos de AccessPress fueron identificados en septiembre de 2021. Se supone que fue entonces cuando se insert\u00f3 el backdoor en los complementos. La primera notificaci\u00f3n de la empresa AccessPress sobre el problema identificado no recibi\u00f3 respuesta, y AccessPress solo logr\u00f3 que se prestara atenci\u00f3n tras involucrar al equipo de WordPress.org. El 15 de octubre de 2021, los archivos afectados por el backdoor fueron eliminados del sitio de AccessPress, y el 17 de enero de 2022 se publicaron nuevas versiones de los complementos. <\/p>\n

La empresa Sucuri examin\u00f3 por separado los sitios en los que se instalaron las versiones afectadas de AccessPress y detect\u00f3 la presencia de m\u00f3dulos maliciosos cargados a trav\u00e9s de un backdoor, los cuales enviaban spam y redirig\u00edan a sitios fraudulentos (los m\u00f3dulos estaban fechados en 2019 y 2020). Se presume que los autores del backdoor vend\u00edan acceso a los sitios comprometidos. <\/p>\n

Temas en los que se registr\u00f3 la inserci\u00f3n del backdoor: <\/p>\n