93개 AccessPress 플러그인의 백도어 및 360만 개 사이트에서 사용되는 테마

공격자들은 AccessPress가 개발한 WordPress 콘텐츠 관리 시스템용 플러그인 40개와 테마 53개에 백도어를 삽입하는데 성공했습니다. 이 시스템에서는 해당 추가 기능이 360만 개 이상의 사이트에서 사용된다고 주장합니다. 이번 사건에 대한 분석 결과는 아직 제공되지 않았지만, 백도어가 존재하는 것으로 보아 AccessPress 웹사이트가 해킹되는 과정에서 악성코드가 유입되어 이미 출시된 릴리스와 함께 다운로드할 수 있도록 제공되는 아카이브를 변경한 것으로 추정됩니다. 공식 AccessPress 웹사이트를 통해 배포되는 코드에만 있지만 WordPress.org 디렉토리를 통해 배포되는 동일한 추가 기능 릴리스에는 없습니다.

악성 변경 사항은 JetPack(WordPress 개발사 Automatic의 사업부) 연구원이 클라이언트 웹사이트에서 발견된 악성 코드를 검사하던 중 발견되었습니다. 상황을 분석한 결과, AccessPress 공식 홈페이지에서 다운로드한 워드프레스 애드온에 악성 변경 사항이 존재하는 것으로 나타났습니다. 동일한 제조업체의 다른 추가 기능도 관리자 권한으로 사이트에 대한 전체 액세스를 허용하는 악의적인 수정을 받았습니다.

수정하는 동안 공격자는 플러그인과 테마가 포함된 아카이브에 "functions.php" 파일의 "include" 지시문을 통해 연결된 "initial.php" 파일을 추가했습니다. 추적을 혼란스럽게 하기 위해 “initial.php” 파일의 악성 콘텐츠는 base64로 인코딩된 데이터 블록으로 위장되었습니다. 이 악성 삽입물은 wp-theme-connect.com 웹사이트에서 이미지를 획득하는 것처럼 가장하여 백도어 코드를 wp-includes/vars.php 파일에 직접 로드했습니다.

AccessPress 추가 기능에 대한 악의적인 변경 사항이 포함된 첫 번째 사이트는 2021년 15월에 확인되었습니다. 그때 백도어가 애드온에 삽입된 것으로 추정됩니다. 확인된 문제에 대해 AccessPress에 보낸 첫 번째 알림에는 답변이 없었고 AccessPress는 WordPress.org 팀이 조사에 참여한 후에야 관심을 받을 수 있었습니다. 2021년 17월 2022일에 백도어의 영향을 받은 아카이브가 AccessPress 웹사이트에서 제거되었으며, 추가 기능의 새 버전이 XNUMX년 XNUMX월 XNUMX일에 출시되었습니다.

Sucuri는 영향을 받는 AccessPress 버전이 설치된 사이트를 별도로 검사하고 스팸을 보내고 사기 사이트로 전환을 리디렉션하는 백도어를 통해 로드된 악성 모듈의 존재를 식별했습니다(모듈 날짜는 2019년과 2020년). 백도어 작성자는 손상된 사이트에 대한 액세스 권한을 판매한 것으로 추정됩니다.

백도어 교체가 기록된 테마:

• 액세스 버디 1.0.0
• accesspress-기본 3.2.1
• 액세스프레스 라이트 2.92
• accesspress-mag 2.6.5
• accesspress-시차 4.5
• accesspress-ray 1.19.5
• accesspress-root 2.5
• accesspress-스테이플 1.9.1
• 액세스프레스 스토어 2.4.9
• 에이전시 라이트 1.1.6
• 애플라이트 1.0.6
• 빙글 1.0.4
• 블로거 1.2.6
• 컨스트럭션 라이트 1.2.5
• 도코 1.0.27
• 계몽 1.3.5
• 패션스토어 1.2.1
• 사진 2.4.0
• 가가코프 1.0.8
• 가가라이트 1.4.2
• 단일 공간 2.2.8
• 시차-블로그 3.1.1574941215
• 시차 1.3.6
• 푼테 1.1.2
• 1.3.1 회전
• 리플 1.2.0
• 스크롤미 2.1.0
• 스포츠매그 1.2.1
• 스토어빌라 1.4.1
• 스윙라이트 1.1.9
• 런처 1.3.2
• 월요일 1.4.1
• 언코드라이트 1.3.1
• 유니콘 라이트 1.2.6
• vmag 1.2.7
• vmagazine-라이트 1.3.5
• vmagazine-뉴스 1.0.5
• 지그시 베이비 1.0.6
• zigcy-화장품 1.0.5
• 지그시라이트 2.0.9

백도어 대체가 감지된 플러그인:

• accesspress-anonymous-post 2.8.0 2.8.1 1
• 액세스프레스-커스텀-CSS 2.0.1 2.0.2
• accesspress-사용자 정의-포스트 유형 1.0.8 1.0.9
• accesspress-facebook-auto-post 2.1.3 2.1.4
• accesspress-instagram-feed 4.0.3 4.0.4
• accesspress-pinterest 3.3.3 3.3.4
• accesspress-소셜-카운터 1.9.1 1.9.2
• accesspress-소셜-아이콘 1.8.2 1.8.3
• accesspress-소셜-로그인-라이트 3.4.7 3.4.8
• accesspress-소셜-공유 4.5.5 4.5.6
• accesspress-twitter-auto-post 1.4.5 1.4.6
• accesspress-twitter-feed 1.6.7 1.6.8
• ak-메뉴-아이콘-라이트 1.0.9
• ap-동반자 1.0.7 2
• ap-문의 양식 1.0.6 1.0.7
• ap-custom-추천서 1.4.6 1.4.7
• ap-메가-메뉴 3.0.5 3.0.6
• AP-가격-테이블-라이트 1.1.2 1.1.3
• 정점-알림-바-라이트 2.0.4 2.0.5
• cf7-store-to-db-lite 1.0.9 1.1.0
• 댓글 비활성화-액세스 1.0.7 1.0.8
• 이지사이드탭-CTA 1.0.7 1.0.8
• 에베레스트 관리자 테마 라이트 1.0.7 1.0.8
• 에베레스트-커밍순-라이트 1.1.0 1.1.1
• 에베레스트 코멘트 등급 라이트 2.0.4 2.0.5
• 에베레스트 카운터 라이트 2.0.7 2.0.8
• 에베레스트-faq-관리자-라이트 1.0.8 1.0.9
• 에베레스트 갤러리 라이트 1.0.8 1.0.9
• 에베레스트-구글-장소-리뷰-라이트 1.0.9 2.0.0
• 에베레스트 리뷰 라이트 1.0.7
• 에베레스트 탭 라이트 2.0.3 2.0.4
• 에베레스트 타임라인 라이트 1.1.1 1.1.2
• 인라인 호출-액션-빌더-라이트 1.1.0 1.1.1
• 제품 슬라이더-우커머스-라이트 1.1.5 1.1.6
• 스마트 로고 쇼케이스 라이트 1.1.7 1.1.8
• 스마트 스크롤 포스트 2.0.8 2.0.9
• 스마트 스크롤-탑라이트 1.0.3 1.0.4
• 총-GDPR-컴플라이언스-라이트 1.0.4
• 전체 팀 라이트 1.1.1 1.1.2
• 궁극의 저자 박스 라이트 1.1.2 1.1.3
• 궁극의 폼 빌더 라이트 1.5.0 1.5.1
• 우-배지-디자이너-라이트 1.1.0 1.1.1
• wp-1-슬라이더 1.2.9 1.3.0
• wp-블로그-관리자-라이트 1.1.0 1.1.2
• wp-댓글-디자이너-라이트 2.0.3 2.0.4
• wp-쿠키-사용자 정보 1.0.7 1.0.8
• wp-페이스북-리뷰-쇼케이스-라이트 1.0.9
• wp-fb-메신저-버튼-라이트 2.0.7
• wp-플로팅 메뉴 1.4.4 1.4.5
• wp-미디어-관리자-라이트 1.1.2 1.1.3
• wp-팝업-배너 1.2.3 1.2.4
• wp-팝업-라이트 1.0.8
• wp-제품-갤러리-라이트 1.1.1

출처 : opennet.ru