{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Un backdoor dans 93 plugins et th\u00e8mes AccessPress utilis\u00e9s sur 360 000 sites","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des cybercriminels ont r\u00e9ussi \u00e0 int\u00e9grer un backdoor dans 40 plugins et 53 th\u00e8mes pour le syst\u00e8me de gestion de contenu WordPress, d\u00e9velopp\u00e9s par la soci\u00e9t\u00e9 AccessPress, qui affirme que ses extensions sont utilis\u00e9es sur plus de 360 000 sites. Les r\u00e9sultats de l'analyse de l'incident n'ont pas encore \u00e9t\u00e9 communiqu\u00e9s, mais il est suppos\u00e9 que le code malveillant a \u00e9t\u00e9 ins\u00e9r\u00e9 lors de la compromission du site AccessPress, en modifiant les archives propos\u00e9es pour le t\u00e9l\u00e9chargement des versions pr\u00e9c\u00e9demment publi\u00e9es, car le backdoor n'est pr\u00e9sent que dans le code distribu\u00e9 via le site officiel d'AccessPress, mais absent des m\u00eames versions des extensions distribu\u00e9es par le catalogue WordPress.org. <\/p>\n

La pr\u00e9sence de modifications malveillantes a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e par un chercheur de la soci\u00e9t\u00e9 JetPack (une filiale de l'entreprise Automatic, d\u00e9veloppant WordPress) lors de l'examen du code malveillant d\u00e9couvert sur le site d'un de ses clients. L'analyse de la situation a montr\u00e9 que des modifications malveillantes \u00e9taient pr\u00e9sentes dans l'extension WordPress charg\u00e9e depuis le site officiel d'AccessPress. D'autres extensions du m\u00eame fournisseur se sont \u00e9galement r\u00e9v\u00e9l\u00e9es vuln\u00e9rables \u00e0 une modification malveillante permettant d'obtenir un acc\u00e8s complet au site avec des droits d'administrateur. <\/p>\n

Lors de la modification, les attaquants ont ajout\u00e9 dans les archives des plugins et des th\u00e8mes le fichier \u00ab initial.php \u00bb, qui a \u00e9t\u00e9 inclus via la directive \u00ab include \u00bb dans le fichier \u00ab functions.php \u00bb. Pour couvrir leurs traces, le contenu malveillant dans le fichier \u00ab initial.php \u00bb a \u00e9t\u00e9 camoufl\u00e9 sous la forme d'un bloc de donn\u00e9es en codage base64. L'insertion malveillante, sous le pr\u00e9texte de r\u00e9cup\u00e9rer une image depuis le site wp-theme-connect.com, t\u00e9l\u00e9chargeait directement le code du backdoor dans le fichier wp-includes\/vars.php.

\"Un<\/center>
\"Un<\/center> <\/p>\n

Les premiers sites incluant des modifications malveillantes dans les extensions AccessPress ont \u00e9t\u00e9 identifi\u00e9s en septembre 2021. On suppose que c'est \u00e0 ce moment-l\u00e0 que le backdoor a \u00e9t\u00e9 ins\u00e9r\u00e9 dans les extensions. La premi\u00e8re notification adress\u00e9e \u00e0 la soci\u00e9t\u00e9 AccessPress concernant le probl\u00e8me rencontr\u00e9 est rest\u00e9e sans r\u00e9ponse, et AccessPress n'a obtenu une attention qu'apr\u00e8s avoir sollicit\u00e9 l'intervention de l'\u00e9quipe de WordPress.org. Le 15 octobre 2021, les archives affect\u00e9es par le backdoor ont \u00e9t\u00e9 supprim\u00e9es du site d'AccessPress, et le 17 janvier 2022, de nouvelles versions des extensions ont \u00e9t\u00e9 publi\u00e9es. <\/p>\n

La soci\u00e9t\u00e9 Sucuri a examin\u00e9 s\u00e9par\u00e9ment les sites o\u00f9 des versions compromises d'AccessPress ont \u00e9t\u00e9 install\u00e9es et a d\u00e9couvert la pr\u00e9sence de modules malveillants t\u00e9l\u00e9charg\u00e9s via une porte d\u00e9rob\u00e9e, envoyant des spams et redirigeant vers des sites frauduleux (les modules datent de 2019 et 2020). On suppose que les auteurs de la porte d\u00e9rob\u00e9e vendaient l'acc\u00e8s \u00e0 ces sites compromis. <\/p>\n

Th\u00e8mes dans lesquels un backdoor a \u00e9t\u00e9 d\u00e9tect\u00e9 : <\/p>\n