{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Backdoor in 93 plugin e temi AccessPress, utilizzati su 360.000 siti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I criminali sono riusciti a inserire un backdoor in 40 plugin e 53 temi per il sistema di gestione dei contenuti WordPress, sviluppati dall'azienda AccessPress, che afferma che i suoi add-on vengono utilizzati su oltre 360.000 siti. I risultati dell'analisi dell'incidente non sono ancora disponibili, ma si presume che il codice malevolo sia stato infiltrato durante la compromissione del sito di AccessPress, apportando modifiche ai pacchetti proposti per il download con versioni gi\u00e0 rilasciate, poich\u00e9 il backdoor \u00e8 presente solo nel codice distribuito tramite il sito ufficiale di AccessPress, ma assente nelle stesse versioni degli add-on distribuiti tramite il catalogo WordPress.org. <\/p>\n

La presenza di modifiche malevolente \u00e8 stata scoperta da un ricercatore dell'azienda JetPack (una divisione della societ\u00e0 Automatic, che si occupa dello sviluppo di WordPress) durante lo studio del codice malevolo trovato su un sito di un cliente. L'analisi della situazione ha rivelato che le modifiche malevole erano presenti in un add-on di WordPress scaricato dal sito ufficiale di AccessPress. Anche gli altri add-on dello stesso produttore sono risultati vulnerabili a una modifica malevola che consente l'accesso completo al sito con diritti di amministratore. <\/p>\n

Durante la modifica, gli aggressori hanno aggiunto agli archivi dei plugin e dei temi un file «initial.php», che \u00e8 stato incluso tramite la direttiva «include» nel file «functions.php». Per confondere le tracce, il contenuto dannoso nel file «initial.php» \u00e8 stato camuffato come un blocco di dati in codifica base64. L'inserimento malevolo, sotto forma di richiesta di un'immagine dal sito wp-theme-connect.com, caricava nel file wp-includes\/vars.php direttamente il codice del backdoor.

\"Backdoor<\/center>
\"Backdoor<\/center> <\/p>\n

I primi siti che includevano modifiche malevole negli add-on di AccessPress sono stati individuati a settembre 2021. Si presume che proprio in quel periodo sia stato inserito il backdoor negli add-on. La prima segnalazione da parte di AccessPress riguardo al problema rilevato \u00e8 rimasta senza risposta e l'attenzione di AccessPress \u00e8 stata ottenuta solo dopo aver coinvolto il team di WordPress.org. Il 15 ottobre 2021, gli archivi compromessi dal backdoor sono stati rimossi dal sito di AccessPress, e il 17 gennaio 2022 sono state rilasciate nuove versioni degli add-on. <\/p>\n

La compagnia Sucuri ha esaminato separatamente i siti in cui erano installate le versioni compromesse di AccessPress e ha rilevato la presenza di moduli malevoli caricati tramite un backdoor, che inviavano spam e reindirizzavano gli utenti verso siti truffaldini (i moduli erano datati 2019 e 2020). Si ritiene che gli autori del backdoor vendessero accesso ai siti compromessi. <\/p>\n

Temi di design in cui \u00e8 stata registrata l'iniezione del backdoor: <\/p>\n