Հարձակվողներին հաջողվել է 40 փլագինների և 53 թեմաների մեջ ներկառուցել AccessPress-ի կողմից մշակված WordPress բովանդակության կառավարման համակարգի համար, որը պնդում է, որ իր հավելումները օգտագործվում են ավելի քան 360 հազար կայքերում։ Միջադեպի վերլուծության արդյունքները դեռ չեն տրամադրվել, սակայն ենթադրվում է, որ վնասակար կոդը ներդրվել է AccessPress կայքի խախտման ժամանակ՝ փոփոխություններ կատարելով արդեն թողարկված թողարկումներով ներբեռնման համար առաջարկվող արխիվներում, քանի որ ետնախորը առկա է։ միայն այն կոդում, որը տարածվում է պաշտոնական AccessPress կայքի միջոցով, բայց բացակայում է WordPress.org գրացուցակի միջոցով բաշխված հավելումների նույն թողարկումներում:
Վնասակար փոփոխությունները հայտնաբերվել են JetPack-ի (WordPress մշակողի Automatic ստորաբաժանում) հետազոտողի կողմից՝ հաճախորդի կայքում հայտնաբերված վնասակար կոդը ուսումնասիրելիս: Իրավիճակի վերլուծությունը ցույց է տվել, որ պաշտոնական AccessPress կայքից ներբեռնված WordPress հավելումում առկա են վնասակար փոփոխություններ։ Նույն արտադրողի այլ հավելումներ նույնպես ենթակա էին վնասակար փոփոխությունների, որոնք թույլ էին տալիս լիարժեք մուտք գործել կայք ադմինիստրատորի իրավունքներով:
Մոդիֆիկացիայի ընթացքում հարձակվողները արխիվներում ավելացրել են «initial.php» ֆայլը՝ փլագիններով և թեմաներով, որը միացվել է «functions.php» ֆայլի «include» հրահանգի միջոցով։ Հետքը շփոթելու համար «initial.php» ֆայլի վնասակար բովանդակությունը քողարկվել է որպես տվյալների բազայի կոդավորված բլոկ: Վնասակար ներդիրը, wp-theme-connect.com կայքից պատկեր ստանալու քողի տակ, ուղղակիորեն բեռնել է հետնախորշի կոդը wp-includes/vars.php ֆայլում։
Առաջին կայքերը, որոնք ներառում էին AccessPress հավելումների վնասակար փոփոխությունները, հայտնաբերվել են 2021 թվականի սեպտեմբերին: Ենթադրվում է, որ հենց այդ ժամանակ է հետնախորշը տեղադրվել հավելումների մեջ։ Հայտնաբերված խնդրի մասին AccessPress-ին ուղարկված առաջին ծանուցումն անպատասխան մնաց, և AccessPress-ը կարողացավ ուշադրություն գրավել միայն WordPress.org թիմին հետաքննությանը ներգրավելուց հետո: 15 թվականի հոկտեմբերի 2021-ին հետնախորշից տուժած արխիվները հեռացվեցին AccessPress կայքից, իսկ հավելումների նոր տարբերակները թողարկվեցին 17 թվականի հունվարի 2022-ին։
Sucuri-ն առանձին-առանձին ուսումնասիրել է այն կայքերը, որոնց վրա տեղադրվել են AccessPress-ի ազդակիր տարբերակները և հայտնաբերել վնասակար մոդուլների առկայությունը, որոնք բեռնված են հետնախորշի միջոցով, որոնք ուղարկում են սպամ և վերահղում անցումները դեպի խարդախ կայքեր (մոդուլները թվագրված են 2019 և 2020 թվականներով): Ենթադրվում է, որ backdoor-ի հեղինակները վաճառում էին մուտքը դեպի վտանգված կայքեր։
Թեմաներ, որոնցում արձանագրված է հետնախորշի փոխարինումը.
- accessbuddy 1.0.0
- accesspress-basic 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-parallax 4.5
- accesspress-ray 1.19.5
- accesspress-root 2.5
- accesspress-staple 1.9.1
- accesspress-store 2.4.9
- գործակալություն-լայթ 1.1.6
- aplite 1.0.6
- bingle 1.0.4
- բլոգեր 1.2.6
- շինարարություն-լայթ 1.2.5
- doko 1.0.27
- լուսավորել 1.3.5
- fashstore 1.2.1
- լուսանկարչություն 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- մեկ տարածություն 2.2.8
- parallax-blog 3.1.1574941215
- պարալաքսային 1.3.6
- կետ 1.1.2
- պտտվել 1.3.1
- ծածանք 1.2.0
- scrollme 2.1.0
- sportsmag 1.2.1
- storevilla 1.4.1
- swing-lite 1.1.9
- գործարկիչը 1.3.2
- երկուշաբթի 1.4.1
- uncode-lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-news 1.0.5
- zigcy-baby 1.0.6
- zigcy-cosmetics 1.0.5
- zigcy-lite 2.0.9
Փլագիններ, որոնցում նկատվել է հետևի դռան փոխարինում.
- accesspress-anonymous-post 2.8.0 2.8.1 1
- accesspress-custom-css 2.0.1 2.0.2
- accesspress-custom-post-type 1.0.8 1.0.9
- accesspress-facebook-auto-post 2.1.3 2.1.4
- accesspress-instagram-feed 4.0.3 4.0.4
- accesspress-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- accesspress-social-icons 1.8.2 1.8.3
- accesspress-social-login-lite 3.4.7 3.4.8
- accesspress-social-share 4.5.5 4.5.6
- accesspress-twitter-auto-post 1.4.5 1.4.6
- accesspress-twitter-feed 1.6.7 1.6.8
- ak-menu-icons-lite 1.0.9
- ap-companion 1.0.7 2
- ap-contact-form 1.0.6 1.0.7
- ap-custom-testimonial 1.4.6 1.4.7
- ap-mega-menu 3.0.5 3.0.6
- ap-pricing-tables-lite 1.1.2 1.1.3
- apex-notification-bar-lite 2.0.4 2.0.5
- cf7-store-to-db-lite 1.0.9 1.1.0
- comments-disable-accesspress 1.0.7 1.0.8
- easy-side-tab-cta 1.0.7 1.0.8
- everest-admin-theme-lite 1.0.7 1.0.8
- everest-coming-soon-lite 1.1.0 1.1.1
- everest-comment-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- everest-gallery-lite 1.0.8 1.0.9
- everest-google-places-reviews-lite 1.0.9 2.0.0
- everest-review-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-call-to-action-builder-lite 1.1.0 1.1.1
- product-slider-for-woocommerce-lite 1.1.5 1.1.6
- smart-logo-showcase-lite 1.1.7 1.1.8
- smart-scroll-posts 2.0.8 2.0.9
- smart-scroll-to-top-lite 1.0.3 1.0.4
- total-gdpr-compliance-lite 1.0.4
- total-team-lite 1.1.1 1.1.2
- ultimate-author-box-lite 1.1.2 1.1.3
- ultimate-form-builder-lite 1.5.0 1.5.1
- woo-badge-designer-lite 1.1.0 1.1.1
- wp-1-slider 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-user-info 1.0.7 1.0.8
- wp-facebook-review-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menu 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banners 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-product-gallery-lite 1.1.1
Source: opennet.ru