{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Backdoor in 93 plugins en thema's van AccessPress, gebruikt op 360.000 websites","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kwaadzijdige personen zijn erin geslaagd een backdoor te integreren in 40 plugins en 53 thema's voor het contentmanagementsysteem WordPress, ontwikkeld door AccessPress, dat stelt dat zijn toevoegingen worden gebruikt op meer dan 360.000 websites. De resultaten van het onderzoek naar het voorval zijn nog niet gepubliceerd, maar het wordt vermoed dat de kwaadaardige code is ingebracht tijdens een compromittering van de AccessPress-website door wijzigingen aan te brengen in de te downloaden archieven van reeds uitgebracht materiaal, aangezien de backdoor alleen aanwezig is in de code die via de offici\u00eble website van AccessPress wordt verspreid, maar niet in dezelfde versies van de plugins die via de WordPress.org-catalogus worden verspreid. <\/p>\n

Het bestaan van kwaadaardige wijzigingen werd ontdekt door een onderzoeker van JetPack (een dochteronderneming van Automatic, dat zich bezighoudt met de ontwikkeling van WordPress) tijdens het bestuderen van kwaadaardige code die op de website van een van de klanten was aangetroffen. Analyse van de situatie toonde aan dat de kwaadaardige wijzigingen aanwezig waren in de WordPress-plugin die van de offici\u00eble AccessPress-website was gedownload. Ook de andere toevoegingen van dezelfde fabrikant bleken kwetsbaar voor kwaadaardige modificaties, die volledige toegang tot de website met administratorrechten mogelijk maakten. <\/p>\n

Tijdens de modificatie hebben de aanvallers een bestand genaamd «initial.php» toegevoegd aan de archieven met plugins en thema's, dat werd ingeladen via de «include»-instructie in het bestand «functions.php». Om de sporen te verhullen, was de kwaadaardige inhoud in het bestand «initial.php» verstopt in de vorm van een gegevensblok met base64-codering. De kwaadaardige invoeging, vermomd als het ophalen van een afbeelding van de site wp-theme-connect.com, lade rechtstreeks de backdoorcode in het bestand wp-includes\/vars.php.

\"Backdoor<\/center>
\"Backdoor<\/center> <\/p>\n

De eerste websites die kwaadaardige wijzigingen in de AccessPress-add-ons bevatten, werden ontdekt in september 2021. Het wordt verondersteld dat de backdoor op dat moment in de toevoegingen werd geplaatst. De eerste melding van AccessPress over het ontdekte probleem bleef onbeantwoord, en aandacht voor het probleem werd pas bereikt nadat het WordPress.org-team bij de kwestie was betrokken. Op 15 oktober 2021 werden de door de backdoor aangetaste archieven van de AccessPress-website verwijderd, en op 17 januari 2022 werden nieuwe versies van de toevoegingen uitgebracht. <\/p>\n

Het bedrijf Sucuri heeft afzonderlijk websites onderzocht waarop ge\u00efnfecteerde versies van AccessPress waren ge\u00efnstalleerd en ontdekte dat er kwaadaardige modules via een backdoor waren ge\u00fcpload die spam verstuurden en bezoekers naar frauduleuze websites leidden (de modules waren gedateerd in 2019 en 2020). Het wordt verondersteld dat de auteurs van de backdoor toegang verkochten tot gecompromitteerde websites. <\/p>\n

Thema's waarin de backdoor is vastgesteld: <\/p>\n