De oanfallers slaggen it om in efterdoar yn 40-plugins en 53-tema's yn te setten foar it WordPress-ynhâldbehearsysteem, ûntwikkele troch AccessPress, dy't beweart dat har tafoegings wurde brûkt op mear as 360 tûzen siden. De resultaten fan 'e analyze fan it ynsidint binne noch net levere, mar der wurdt fan útgien dat de kweade koade waard yntrodusearre tidens it kompromis fan' e AccessPress-webside, wêrtroch wizigingen makke wurde oan 'e argiven oanbean foar download mei al frijlitten releases, om't de efterdoar oanwêzich is. allinich yn 'e koade ferspraat fia de offisjele AccessPress-webside, mar is ôfwêzich yn dy deselde releases fan tafoegings ferspraat fia de WordPress.org-map.
De kweade feroarings waarden ûntdutsen troch in ûndersiker by JetPack (in divyzje fan WordPress-ûntwikkelder Automatysk) by it ûndersiikjen fan kweade koade fûn op 'e webside fan in kliïnt. In analyze fan 'e situaasje liet sjen dat kweade wizigingen oanwêzich wiene yn' e WordPress-tafoeging ynladen fan 'e offisjele AccessPress-webside. Oare tafoegings fan deselde fabrikant wiene ek ûnderwurpen oan kweade wizigingen dy't folsleine tagong ta de side mei administratorrjochten tastiene.
Tidens de wiziging tafoege de oanfallers de "initial.php"-bestân oan 'e argiven mei plugins en tema's, dy't ferbûn wie fia de "include"-rjochtline yn it "functions.php"-bestân. Om it spoar te betize, waard de kweade ynhâld yn 'e "initial.php"-bestân kamouflearre as in base64-kodearre blok fan gegevens. De kweade ynfoeg, ûnder it mom fan it krijen fan in ôfbylding fan 'e webside wp-theme-connect.com, laden de efterdoarkoade direkt yn it wp-includes/vars.php-bestân.
De earste siden dy't kweade feroarings omfette oan AccessPress-tafoegings waarden yn septimber 2021 identifisearre. Der wurdt fan útgien dat it doe wie dat de efterdoar yn de tafoegings ynfoege waard. De earste notifikaasje oan AccessPress oer it identifisearre probleem gie ûnbeantwurde, en AccessPress koe allinich omtinken krije nei it belûken fan it WordPress.org-team yn it ûndersyk. Op 15 oktober 2021 waarden de argiven beynfloede troch de efterdoar fuortsmiten fan 'e AccessPress-webside, en nije ferzjes fan' e tafoegings waarden frijlitten op 17 jannewaris 2022.
Sucuri ûndersocht apart siden wêrop beynfloede ferzjes fan AccessPress waarden ynstalleare en identifisearre de oanwêzigens fan kweade modules laden troch in efterdoar dy't spam stjoerde en oergongen omlearde nei frauduleuze siden (de modules wiene datearre 2019 en 2020). Der wurdt oannommen dat de auteurs fan 'e efterdoar tagong ferkochten ta kompromitteare siden.
Tema's wêryn de efterdoarferfanging is opnommen:
- accessbuddy 1.0.0
- accesspress-basic 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-parallax 4.5
- accesspress-ray 1.19.5
- accesspress-root 2.5
- accesspress-staple 1.9.1
- accesspress-winkel 2.4.9
- agency-lite 1.1.6
- aplite 1.0.6
- bingle 1.0.4
- blogger 1.2.6
- konstruksje-lite 1.2.5
- doko 1.0.27
- ferljochtsje 1.3.5
- faststore 1.2.1
- fotografy 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- ien-romte 2.2.8
- parallax-blog 3.1.1574941215
- parallaxsome 1.3.6
- punten 1.1.2
- revolve 1.3.1
- rippel 1.2.0
- scrollme 2.1.0
- sportsmag 1.2.1
- storevilla 1.4.1
- swing-lite 1.1.9
- de-launcher 1.3.2
- de-moandei 1.4.1
- uncode-lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-nijs 1.0.5
- zigcy-baby 1.0.6
- zigcy-cosmetica 1.0.5
- zigcy-lite 2.0.9
Plugins wêryn efterdoarferfanging waard ûntdutsen:
- accesspress-anonymous-post 2.8.0 2.8.1 1
- accesspress-oanpaste-css 2.0.1 2.0.2
- accesspress-oanpaste-post-type 1.0.8 1.0.9
- accesspress-facebook-auto-post 2.1.3 2.1.4
- accesspress-instagram-feed 4.0.3 4.0.4
- accesspress-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- accesspress-sosjale-ikoanen 1.8.2 1.8.3
- accesspress-social-login-lite 3.4.7 3.4.8
- accesspress-social-share 4.5.5 4.5.6
- accesspress-twitter-auto-post 1.4.5 1.4.6
- accesspress-twitter-feed 1.6.7 1.6.8
- ak-menu-icons-lite 1.0.9
- ap-kompanjon 1.0.7 2
- ap-kontakt-formulier 1.0.6 1.0.7
- ap-custom-testimonial 1.4.6 1.4.7
- ap-mega-menu 3.0.5 3.0.6
- ap-prizen-tabellen-lite 1.1.2 1.1.3
- apex-notifikaasje-bar-lite 2.0.4 2.0.5
- cf7-store-to-db-lite 1.0.9 1.1.0
- comments-disable-accesspress 1.0.7 1.0.8
- easy-side-tab-cta 1.0.7 1.0.8
- everest-admin-theme-lite 1.0.7 1.0.8
- everest-coming-soon-lite 1.1.0 1.1.1
- everest-comment-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- everest-galery-lite 1.0.8 1.0.9
- everest-google-places-reviews-lite 1.0.9 2.0.0
- everest-review-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-call-to-action-builder-lite 1.1.0 1.1.1
- produkt-slider-foar-woocommerce-lite 1.1.5 1.1.6
- smart-logo-showcase-lite 1.1.7 1.1.8
- smart-scroll-berjochten 2.0.8 2.0.9
- smart-scroll-to-top-lite 1.0.3 1.0.4
- total-gdpr-compliance-lite 1.0.4
- totaal-team-lite 1.1.1 1.1.2
- ultimate-author-box-lite 1.1.2 1.1.3
- ultimate-form-builder-lite 1.5.0 1.5.1
- woo-badge-designer-lite 1.1.0 1.1.1
- wp-1-slider 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-brûkersinfo 1.0.7 1.0.8
- wp-facebook-review-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menu 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banners 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-product-galery-lite 1.1.1
Boarne: opennet.ru