{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Backdoor in 93 plugin e temi di AccessPress, utilizzati su 360.000 siti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Gli aggressori sono riusciti a inserire un backdoor in 40 plugin e 53 temi per il sistema di gestione dei contenuti WordPress, sviluppati dall'azienda AccessPress, che afferma che i suoi complementi sono utilizzati su oltre 360.000 siti. I risultati dell'analisi dell'incidente non sono ancora stati forniti, ma si sospetta che il codice dannoso sia stato inserito a seguito di una compromissione del sito di AccessPress, apportando modifiche agli archivi proposti per il download delle versioni gi\u00e0 rilasciate, poich\u00e9 il backdoor \u00e8 presente solo nel codice distribuito tramite il sito ufficiale di AccessPress, ma \u00e8 assente negli stessi rilasci di plugin distribuiti tramite il catalogo WordPress.org. <\/p>\n

\u00c8 stata rilevata la presenza di modifiche dannose da un ricercatore di JetPack (un'azienda del gruppo Automatic specializzata in WordPress) durante l'analisi del codice malevolo trovato su un sito di un cliente. L'analisi della situazione ha mostrato che le modifiche dannose erano presenti in un plugin di WordPress scaricato dal sito ufficiale di AccessPress. Anche gli altri plugin dello stesso produttore sono risultati vulnerabili a questa modifica malevola, che consente l'accesso completo al sito con diritti da amministratore. <\/p>\n

Durante la modifica, gli aggressori hanno inserito negli archivi dei plugin e dei temi il file «initial.php», che \u00e8 stato incluso tramite la direttiva «include» nel file «functions.php». Per confondere le tracce, il contenuto dannoso nel file «initial.php» \u00e8 stato camuffato come un blocco di dati in codifica base64. L'inserimento dannoso, sotto forma di richiesta di immagine da wp-theme-connect.com, caricava direttamente nel file wp-includes\/vars.php il codice del backdoor.

\"Backdoor<\/center>
\"Backdoor<\/center> <\/p>\n

I primi siti che includevano modifiche malevole nei plugin di AccessPress sono stati identificati a settembre 2021. Si presume che proprio in quel periodo sia stato inserito un backdoor nei plugin. La prima comunicazione dell'azienda AccessPress riguardo al problema riscontrato \u00e8 rimasta senza risposta, e AccessPress \u00e8 riuscita a ottenere attenzione solo dopo aver coinvolto il team di WordPress.org. Il 15 ottobre 2021, gli archivi compromessi da backdoor sono stati rimossi dal sito di AccessPress, e il 17 gennaio 2022 sono state rilasciate nuove versioni dei plugin. <\/p>\n

L'azienda Sucuri ha effettuato un'analisi separata dei siti in cui erano installate le versioni compromesse di AccessPress, rivelando la presenza di moduli malevoli caricati tramite il backdoor, che effettuavano invii di spam e reindirizzamenti a siti fraudolenti (i moduli risalivano al 2019 e al 2020). Si ipotizza che gli autori del backdoor vendessero l'accesso ai siti compromessi. <\/p>\n

Temi in cui \u00e8 stata registrata l'inserzione del backdoor: <\/p>\n