🥇Backdoor in 93 plugin e temi di AccessPress, utilizzati su 360.000 siti

Gli aggressori sono riusciti a inserire un backdoor in 40 plugin e 53 temi per il sistema di gestione dei contenuti WordPress, sviluppati dall'azienda AccessPress, che afferma che i suoi complementi sono utilizzati su oltre 360.000 siti. I risultati dell'analisi dell'incidente non sono ancora stati forniti, ma si sospetta che il codice dannoso sia stato inserito a seguito di una compromissione del sito di AccessPress, apportando modifiche agli archivi proposti per il download delle versioni già rilasciate, poiché il backdoor è presente solo nel codice distribuito tramite il sito ufficiale di AccessPress, ma è assente negli stessi rilasci di plugin distribuiti tramite il catalogo WordPress.org.

È stata rilevata la presenza di modifiche dannose da un ricercatore di JetPack (un'azienda del gruppo Automatic specializzata in WordPress) durante l'analisi del codice malevolo trovato su un sito di un cliente. L'analisi della situazione ha mostrato che le modifiche dannose erano presenti in un plugin di WordPress scaricato dal sito ufficiale di AccessPress. Anche gli altri plugin dello stesso produttore sono risultati vulnerabili a questa modifica malevola, che consente l'accesso completo al sito con diritti da amministratore.

Durante la modifica, gli aggressori hanno inserito nei pacchetti di plugin e temi un file chiamato "initial.php", che veniva incluso tramite la direttiva "include" nel file "functions.php". Per confondere le tracce, il contenuto malevolo nel file "initial.php" era camuffato come un blocco di dati codificato in base64. L'inserimento malevolo, presentato come una richiesta di immagine dal sito wp-theme-connect.com, caricava nel file wp-includes/vars.php direttamente il codice di un backdoor.

Backdoor in 93 plugin e temi di AccessPress, utilizzati su 360.000 siti

I primi siti che includevano modifiche malevole nei plugin di AccessPress sono stati identificati a settembre 2021. Si presume che proprio in quel periodo sia stato inserito un backdoor nei plugin. La prima comunicazione dell'azienda AccessPress riguardo al problema riscontrato è rimasta senza risposta, e AccessPress è riuscita a ottenere attenzione solo dopo aver coinvolto il team di WordPress.org. Il 15 ottobre 2021, gli archivi compromessi da backdoor sono stati rimossi dal sito di AccessPress, e il 17 gennaio 2022 sono state rilasciate nuove versioni dei plugin.

L'azienda Sucuri ha effettuato un'analisi separata dei siti in cui erano installate le versioni compromesse di AccessPress, rivelando la presenza di moduli malevoli caricati tramite il backdoor, che effettuavano invii di spam e reindirizzamenti a siti fraudolenti (i moduli risalivano al 2019 e al 2020). Si ipotizza che gli autori del backdoor vendessero l'accesso ai siti compromessi.

Temi in cui è stata registrata l'inserzione del backdoor: