Užpuolikams pavyko įterpti užpakalines duris į 40 įskiepių ir 53 temų, skirtų „WordPress“ turinio valdymo sistemai, kurią sukūrė „AccessPress“, kuri teigia, kad jos priedai naudojami daugiau nei 360 tūkst. Incidento analizės rezultatai dar nepateikti, tačiau daroma prielaida, kad kenkėjiškas kodas buvo įvestas „AccessPress“ svetainės sukompromitavimo metu, keičiant archyvus, siūlomus atsisiųsti su jau išleistais leidimais, nes yra užpakalinės durys. tik kode, platinamame per oficialią „AccessPress“ svetainę, tačiau jo nėra tuose pačiuose priedų leidimuose, platintuose per „WordPress.org“ katalogą.
Kenkėjiškus pakeitimus aptiko „JetPack“ („WordPress“ kūrėjų „Automatic“ padalinio) tyrėjas, tirdamas kliento svetainėje rastą kenkėjišką kodą. Situacijos analizė parodė, kad iš oficialios „AccessPress“ svetainės atsisiųstame „WordPress“ priede buvo kenkėjiškų pakeitimų. Kiti to paties gamintojo priedai taip pat buvo paveikti kenkėjiškų modifikacijų, leidžiančių visiškai pasiekti svetainę administratoriaus teisėmis.
Modifikacijos metu užpuolikai prie archyvų su papildiniais ir temomis pridėjo failą „initial.php“, kuris buvo prijungtas per „include“ direktyvą „functions.php“ faile. Siekiant supainioti pėdsaką, kenkėjiškas turinys „initial.php“ faile buvo užmaskuotas kaip „base64“ užkoduotas duomenų blokas. Kenkėjiškas intarpas, prisidengdamas vaizdo gavimu iš svetainės wp-theme-connect.com, tiesiogiai įkėlė galinių durų kodą į failą wp-includes/vars.php.
Pirmosios svetainės, kuriose buvo atlikti kenkėjiški „AccessPress“ priedų pakeitimai, buvo aptiktos 2021 m. rugsėjo mėn. Manoma, kad būtent tada į priedus buvo įdėtos galinės durys. Į pirmąjį pranešimą „AccessPress“ apie nustatytą problemą nebuvo atsakyta, o „AccessPress“ sugebėjo atkreipti dėmesį tik į tyrimą įtraukusi „WordPress.org“ komandą. 15 m. spalio 2021 d. užpakalinių durų paveikti archyvai buvo pašalinti iš „AccessPress“ svetainės, o naujos priedų versijos buvo išleistos 17 m. sausio 2022 d.
„Sucuri“ atskirai ištyrė svetaines, kuriose buvo įdiegtos paveiktos „AccessPress“ versijos, ir nustatė, kad yra kenkėjiškų modulių, įkeltų per užpakalines duris, kurie siuntė šlamštą ir nukreipė perėjimus į apgaulingas svetaines (moduliai buvo datuojami 2019 ir 2020 m.). Spėjama, kad užpakalinių durų autoriai pardavinėjo prieigą prie pažeistų svetainių.
Temos, kuriose įrašomas užpakalinių durų pakeitimas:
- accessbuddy 1.0.0
- accesspress-basic 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-parallax 4.5
- Accesspress-ray 1.19.5
- Accesspress-root 2.5
- accesspress-staple 1.9.1
- accesspress-store 2.4.9
- Agency-lite 1.1.6
- aplite 1.0.6
- viengubas 1.0.4
- tinklaraštininkas 1.2.6
- Construction-Lite 1.2.5
- doko 1.0.27
- apšviesti 1.3.5
- fashstore 1.2.1
- fotografija 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- vieno tarpo 2.2.8
- paralakso dienoraštis 3.1.1574941215
- paralaksomas 1.3.6
- punte 1.1.2
- suktis 1.3.1
- ripple 1.2.0
- scrollme 2.1.0
- sportsmag 1.2.1
- storevilla 1.4.1
- swing-lite 1.1.9
- paleidimo priemonė 1.3.2
- pirmadienis 1.4.1
- uncode-lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-news 1.0.5
- zigcy-baby 1.0.6
- zigcy-kosmetika 1.0.5
- zigcy-lite 2.0.9
Papildiniai, kuriuose buvo aptiktas galinių durų pakeitimas:
- accesspress-anonymous-post 2.8.0 2.8.1 1
- accesspress-custom-css 2.0.1 2.0.2
- accesspress-custom-post-type 1.0.8 1.0.9
- accesspress-facebook-auto-post 2.1.3 2.1.4
- accesspress-instagram-feed 4.0.3 4.0.4
- accesspress-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- accesspress-social-icons 1.8.2 1.8.3
- accesspress-social-login-lite 3.4.7 3.4.8
- accesspress-social-share 4.5.5 4.5.6
- accesspress-twitter-auto-post 1.4.5 1.4.6
- accesspress-twitter-feed 1.6.7 1.6.8
- ak-menu-icons-lite 1.0.9
- ap-companion 1.0.7 2
- ap-contact-form 1.0.6 1.0.7
- ap-custom-testimonial 1.4.6 1.4.7
- ap-mega-meniu 3.0.5 3.0.6
- ap-pricing-tables-lite 1.1.2 1.1.3
- apex-notification-bar-lite 2.0.4 2.0.5
- cf7-store-to-db-lite 1.0.9 1.1.0
- komentarai-išjungti-prieiga 1.0.7 1.0.8
- easy-side-tab-cta 1.0.7 1.0.8
- everest-admin-theme-lite 1.0.7 1.0.8
- everest-coming-soon-lite 1.1.0 1.1.1
- everest-comment-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- everest-gallery-lite 1.0.8 1.0.9
- everest-google-places-reviews-lite 1.0.9 2.0.0
- everest-review-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-call-to-action-builder-lite 1.1.0 1.1.1
- product-slider-for-woocommerce-lite 1.1.5 1.1.6
- smart-logo-showcase-lite 1.1.7 1.1.8
- smart-scroll-posts 2.0.8 2.0.9
- smart-scroll-to-top-lite 1.0.3 1.0.4
- total-gdpr-compliance-lite 1.0.4
- total-team-lite 1.1.1 1.1.2
- ultimate-author-box-lite 1.1.2 1.1.3
- ultimate-form-builder-lite 1.5.0 1.5.1
- woo-badge-designer-lite 1.1.0 1.1.1
- wp-1-slankiklis 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-user-info 1.0.7 1.0.8
- wp-facebook-review-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menu 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banners 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-product-gallery-lite 1.1.1
Šaltinis: opennet.ru