Para penyerang berhasil menyematkan pintu belakang ke dalam 40 plugin dan 53 tema untuk sistem manajemen konten WordPress, yang dikembangkan oleh AccessPress, yang mengklaim bahwa add-onnya digunakan di lebih dari 360 ribu situs. Hasil analisis insiden tersebut belum diberikan, namun diasumsikan bahwa kode berbahaya dimasukkan selama kompromi situs web AccessPress, membuat perubahan pada arsip yang ditawarkan untuk diunduh dengan rilis yang sudah dirilis, karena ada pintu belakang hanya dalam kode yang didistribusikan melalui situs resmi AccessPress, tetapi tidak ada dalam rilis add-on yang sama yang didistribusikan melalui direktori WordPress.org.
Perubahan berbahaya tersebut ditemukan oleh seorang peneliti di JetPack (sebuah divisi dari pengembang WordPress Otomatis) saat memeriksa kode berbahaya yang ditemukan di situs web klien. Analisis situasi menunjukkan bahwa ada perubahan berbahaya pada add-on WordPress yang diunduh dari situs resmi AccessPress. Pengaya lain dari pabrikan yang sama juga mengalami modifikasi berbahaya yang memungkinkan akses penuh ke situs dengan hak administrator.
Selama modifikasi, penyerang menambahkan file βinitial.phpβ ke arsip dengan plugin dan tema, yang dihubungkan melalui arahan βincludeβ di file βfunctions.phpβ. Untuk membingungkan jejaknya, konten berbahaya dalam file βinitial.phpβ disamarkan sebagai blok data berkode base64. Penyisipan berbahaya, dengan kedok menerima gambar dari situs web wp-theme-connect.com, langsung memuat kode pintu belakang ke dalam file wp-includes/vars.php.
Situs pertama yang menyertakan perubahan berbahaya pada add-on AccessPress diidentifikasi pada September 2021. Diasumsikan saat itulah pintu belakang dimasukkan ke dalam add-on. Pemberitahuan pertama ke AccessPress tentang masalah yang teridentifikasi tidak dijawab, dan AccessPress hanya bisa mendapatkan perhatian setelah melibatkan tim WordPress.org dalam penyelidikan. Pada tanggal 15 Oktober 2021, arsip yang terpengaruh oleh pintu belakang telah dihapus dari situs web AccessPress, dan versi baru dari add-on dirilis pada 17 Januari 2022.
Sucuri secara terpisah memeriksa situs tempat versi AccessPress yang terpengaruh diinstal dan mengidentifikasi keberadaan modul berbahaya yang dimuat melalui pintu belakang yang mengirimkan spam dan mengalihkan transisi ke situs penipuan (modul tersebut bertanggal 2019 dan 2020). Diasumsikan bahwa pembuat pintu belakang menjual akses ke situs yang disusupi.
Tema di mana substitusi pintu belakang direkam:
- accessbuddy 1.0.0
- akses tekan-dasar 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-paralaks 4.5
- aksespress-ray 1.19.5
- akses tekan-root 2.5
- aksestekan-pokok 1.9.1
- akses toko-tekan 2.4.9
- agensi-lite 1.1.6
- cocok 1.0.6
- pesta 1.0.4
- blogger 1.2.6
- konstruksi-lite 1.2.5
- doko 1.0.27
- mencerahkan 1.3.5
- toko cepat 1.2.1
- fotografi 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- satu spasi 2.2.8
- paralaks-blog 3.1.1574941215
- paralaks 1.3.6
- punte 1.1.2
- berputar 1.3.1
- riak 1.2.0
- gulir saya 2.1.0
- majalah olahraga 1.2.1
- tokovilla 1.4.1
- ayunan-lite 1.1.9
- peluncur 1.3.2
- Senin 1.4.1
- buka kode-lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-berita 1.0.5
- zigcy-bayi 1.0.6
- zigcy-kosmetik 1.0.5
- zigcy-lite 2.0.9
Plugin yang mendeteksi substitusi pintu belakang:
- accesspress-anonim-posting 2.8.0 2.8.1 1
- aksestekan-kustom-css 2.0.1 2.0.2
- accesspress-custom-post-type 1.0.8 1.0.9
- aksestekan-facebook-posting otomatis 2.1.3 2.1.4
- aksestekan-instagram-umpan 4.0.3 4.0.4
- akses tekan-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- akses-ikon-sosial 1.8.2 1.8.3
- accesspress-sosial-login-lite 3.4.7 3.4.8
- accesspress-sosial-berbagi 4.5.5 4.5.6
- aksestekan-twitter-posting otomatis 1.4.5 1.4.6
- aksestekan-twitter-umpan 1.6.7 1.6.8
- ak-menu-ikon-lite 1.0.9
- ap-pendamping 1.0.7 2
- formulir kontak-ap 1.0.6 1.0.7
- ap-custom-testimonial 1.4.6 1.4.7
- ap-mega-menu 3.0.5 3.0.6
- ap-harga-tabel-lite 1.1.2 1.1.3
- apex-notifikasi-bar-lite 2.0.4 2.0.5
- cf7-toko-ke-db-lite 1.0.9 1.1.0
- komentar-nonaktifkan-akses tekan 1.0.7 1.0.8
- tab-sisi-mudah-cta 1.0.7 1.0.8
- everest-admin-tema-lite 1.0.7 1.0.8
- everest-segera hadir-lite 1.1.0 1.1.1
- everest-komentar-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- galeri-everest-lite 1.0.8 1.0.9
- everest-google-tempat-ulasan-lite 1.0.9 2.0.0
- ulasan-everest-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-ajakan-untuk-bertindak-pembuat-lite 1.1.0 1.1.1
- penggeser-produk-untuk-woocommerce-lite 1.1.5 1.1.6
- logo-pintar-showcase-lite 1.1.7 1.1.8
- posting-scroll-pintar 2.0.8 2.0.9
- gulir cerdas-ke-top-lite 1.0.3 1.0.4
- total-kepatuhan-gdpr-lite 1.0.4
- total-tim-lite 1.1.1 1.1.2
- penulis utama-kotak-lite 1.1.2 1.1.3
- pembangun-bentuk-terakhir-lite 1.5.0 1.5.1
- woo-lencana-desainer-lite 1.1.0 1.1.1
- wp-1-slider 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-komentar-desainer-lite 2.0.3 2.0.4
- wp-cookie-info-pengguna 1.0.7 1.0.8
- wp-facebook-ulasan-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-menu-mengambang 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banner 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-produk-galeri-lite 1.1.1
Sumber: opennet.ru