Задна врата во 93 приклучоци и теми на AccessPress што се користат на 360 веб-локации

Напаѓачите успеаја да вградат задна врата во 40 приклучоци и 53 теми за системот за управување со содржина на WordPress, развиен од AccessPress, кој тврди дека неговите додатоци се користат на повеќе од 360 илјади сајтови. Резултатите од анализата на инцидентот сè уште не се обезбедени, но се претпоставува дека злонамерниот код бил воведен при компромисот на веб-страницата AccessPress, правејќи промени во архивите понудени за преземање со веќе објавените изданија, бидејќи задна врата е присутна само во кодот дистрибуиран преку официјалната веб-страница на AccessPress, но отсуствува во истите тие изданија на додатоци дистрибуирани преку директориумот WordPress.org.

Злонамерните промени беа откриени од истражувач во JetPack (оддел на развивачот на WordPress Automatic) додека го испитуваше злонамерниот код пронајден на веб-страницата на клиентот. Анализата на ситуацијата покажа дека се присутни малициозни промени во додатокот за WordPress преземен од официјалната веб-страница на AccessPress. Други додатоци од истиот производител исто така беа предмет на злонамерни модификации што овозможија целосен пристап до страницата со администраторски права.

За време на модификацијата, напаѓачите ја додадоа датотеката „initial.php“ во архивите со приклучоци и теми, која беше поврзана преку директивата „include“ во датотеката „functions.php“. За да се збуни патеката, злонамерната содржина во датотеката „initial.php“ беше камуфлирана како база 64 кодиран блок на податоци. Злонамерното вметнување, под маската на добивање слика од веб-локацијата wp-theme-connect.com, директно го вчита кодот на задна врата во датотеката wp-includes/vars.php.

Првите страници што вклучуваа малициозни промени во додатоците на AccessPress беа идентификувани во септември 2021 година. Се претпоставува дека токму тогаш е вметната задна врата во додатоците. Првото известување до AccessPress за идентификуваниот проблем остана без одговор, а AccessPress успеа да привлече внимание само откако го вклучи тимот на WordPress.org во истрагата. На 15 октомври 2021 година, архивите погодени од задна врата беа отстранети од веб-локацијата AccessPress, а новите верзии на додатоците беа објавени на 17 јануари 2022 година.

Sucuri одделно ги испитуваше страниците на кои беа инсталирани засегнатите верзии на AccessPress и идентификуваше присуство на малициозни модули вчитани преку задна врата што испраќаше спам и ги пренасочуваше транзициите кон лажни сајтови (модулите беа датирани од 2019 и 2020 година). Се претпоставува дека авторите на задна врата продавале пристап до компромитирани сајтови.

Теми што ја содржат замена за задна врата:

• accessbuddy 1.0.0
• accesspress-basic 3.2.1
• accesspress-lite 2.92
• accesspress-mag 2.6.5
• пристаппрес-паралакса 4.5
• accesspress-ray 1.19.5
• accesspress-root 2.5
• accesspress-staple 1.9.1
• accesspress-store 2.4.9
• агенција-лајт 1.1.6
• aplite 1.0.6
• бингл 1.0.4
• блогер 1.2.6
• конструкција-лајт 1.2.5
• доко 1.0.27
• просветли 1.3.5
• fashstore 1.2.1
• фотографија 2.4.0
• gaga-corp 1.0.8
• gaga-lite 1.4.2
• еднопросторно 2.2.8
• parallax-blog 3.1.1574941215
• паралакса 1.3.6
• точка 1.1.2
• се врти 1.3.1
• бранување 1.2.0
• скролме 2.1.0
• спортски маг 1.2.1
• продавница вила 1.4.1
• swing-lite 1.1.9
• фрлачот 1.3.2
• понеделник 1.4.1
• uncode-lite 1.3.1
• unicon-lite 1.2.6
• vmag 1.2.7
• vmagazine-lite 1.3.5
• vmagazine-news 1.0.5
• zigcy-baby 1.0.6
• зигси-козметика 1.0.5
• zigcy-lite 2.0.9

Приклучоци во кои е откриена замена на задна врата:

• accesspress-anonymous-post 2.8.0 2.8.1 1
• accesspress-custom-css 2.0.1 2.0.2
• accesspress-custom-post-type 1.0.8 1.0.9
• accesspress-facebook-auto-post 2.1.3 2.1.4
• accesspress-instagram-feed 4.0.3 4.0.4
• accesspress-pinterest 3.3.3 3.3.4
• accesspress-social-counter 1.9.1 1.9.2
• accesspress-social-icons 1.8.2 1.8.3
• accesspress-social-login-lite 3.4.7 3.4.8
• accesspress-social-share 4.5.5 4.5.6
• accesspress-twitter-auto-post 1.4.5 1.4.6
• accesspress-twitter-feed 1.6.7 1.6.8
• ak-menu-icons-lite 1.0.9
• ap-companion 1.0.7 2
• ap-контакт-форма 1.0.6 1.0.7
• ап-прилагодено-сведоштво 1.4.6 1.4.7
• ап-мега-мени 3.0.5 3.0.6
• ap-pricing-tables-lite 1.1.2 1.1.3
• apex-notification-bar-lite 2.0.4 2.0.5
• cf7-store-to-db-lite 1.0.9 1.1.0
• коментари-оневозможи-пристапи 1.0.7 1.0.8
• easy-side-tab-cta 1.0.7 1.0.8
• everest-admin-theme-lite 1.0.7 1.0.8
• everest-coming-soon-lite 1.1.0 1.1.1
• everest-comment-rating-lite 2.0.4 2.0.5
• еверест-контра-лајт 2.0.7 2.0.8
• everest-faq-manager-lite 1.0.8 1.0.9
• everest-gallery-lite 1.0.8 1.0.9
• everest-google-places-reviews-lite 1.0.9 2.0.0
• everest-review-lite 1.0.7
• everest-tab-lite 2.0.3 2.0.4
• everest-timeline-lite 1.1.1 1.1.2
• inline-call-to-action-builder-lite 1.1.0 1.1.1
• product-slider-for-woocommerce-lite 1.1.5 1.1.6
• smart-logo-showcase-lite 1.1.7 1.1.8
• Smart-scroll-posts 2.0.8 2.0.9
• Smart-scroll-to-top-lite 1.0.3 1.0.4
• total-gdpr-compliance-lite 1.0.4
• total-team-lite 1.1.1 1.1.2
• ultimate-author-box-lite 1.1.2 1.1.3
• ultimate-form-builder-lite 1.5.0 1.5.1
• woo-badge-designer-lite 1.1.0 1.1.1
• wp-1-лизгач 1.2.9 1.3.0
• wp-blog-manager-lite 1.1.0 1.1.2
• wp-comment-designer-lite 2.0.3 2.0.4
• wp-cookie-user-info 1.0.7 1.0.8
• wp-facebook-review-showcase-lite 1.0.9
• wp-fb-messenger-button-lite 2.0.7
• wp-floating-menu 1.4.4 1.4.5
• wp-media-manager-lite 1.1.2 1.1.3
• wp-popup-банери 1.2.3 1.2.4
• wp-popup-lite 1.0.8
• wp-product-gallery-lite 1.1.1

Извор: opennet.ru