{"id":103062,"date":"2022-01-22T15:36:42","date_gmt":"2022-01-22T13:36:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces"},"modified":"2022-01-22T15:36:42","modified_gmt":"2022-01-22T13:36:43","slug":"%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/%d0%b1%d1%8d%d0%ba%d0%b4%d0%be%d1%80-%d0%b2-93-%d0%bf%d0%bb%d0%b0%d0%b3%d0%b8%d0%bd%d0%b0%d1%85-%d0%b8-%d1%82%d0%b5%d0%bc%d0%b0%d1%85-%d0%be%d1%84%d0%be%d1%80%d0%bc%d0%bb%d0%b5%d0%bd%d0%b8%d1%8f-acces","title":{"rendered":"Backdoor em 93 plugins e temas do AccessPress, utilizados em 360 mil sites","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Cibercriminosos conseguiram inserir um backdoor em 40 plugins e 53 temas para o sistema de gerenciamento de conte\u00fado WordPress, desenvolvidos pela AccessPress, que afirma que seus complementos s\u00e3o utilizados em mais de 360 mil sites. Os resultados da an\u00e1lise do incidente ainda n\u00e3o foram divulgados, mas presume-se que o c\u00f3digo malicioso tenha sido injetado durante a comprometimento do site da AccessPress, fazendo altera\u00e7\u00f5es nos arquivos oferecidos para download com lan\u00e7amentos j\u00e1 publicados, uma vez que o backdoor est\u00e1 presente apenas no c\u00f3digo distribu\u00eddo atrav\u00e9s do site oficial da AccessPress, mas ausente nas mesmas vers\u00f5es dos complementos disponibilizadas pelo diret\u00f3rio WordPress.org. <\/p>\n

A presen\u00e7a de altera\u00e7\u00f5es maliciosas foi identificada por um pesquisador da JetPack (subdivis\u00e3o da Automatic, que desenvolve o WordPress) durante o estudo do c\u00f3digo malicioso encontrado no site de um de seus clientes. A an\u00e1lise da situa\u00e7\u00e3o mostrou que as altera\u00e7\u00f5es maliciosas estavam presentes no complemento do WordPress baixado do site oficial da AccessPress. Outros complementos do mesmo fabricante tamb\u00e9m foram encontrados vulner\u00e1veis \u00e0 modifica\u00e7\u00e3o maliciosa, permitindo acesso total ao site com privil\u00e9gios de administrador. <\/p>\n

Durante a modifica\u00e7\u00e3o, os criminosos adicionaram ao arquivo de plugins e temas o arquivo «initial.php», que foi inclu\u00eddo atrav\u00e9s da diretiva «include» no arquivo «functions.php». Para confundir as pistas, o conte\u00fado malicioso no arquivo «initial.php» foi camuflado na forma de um bloco de dados codificado em base64. A inser\u00e7\u00e3o maliciosa, sob o pretexto de obter uma imagem do site wp-theme-connect.com, carregava diretamente o c\u00f3digo do backdoor no arquivo wp-includes\/vars.php.

\"Backdoor<\/center>
\"Backdoor<\/center> <\/p>\n

Os primeiros sites que inclu\u00edram altera\u00e7\u00f5es maliciosas nos complementos da AccessPress foram identificados em setembro de 2021. Presume-se que foi nesse momento que o backdoor foi injetado nos complementos. A primeira notifica\u00e7\u00e3o da AccessPress sobre o problema identificado n\u00e3o obteve resposta, e a AccessPress s\u00f3 conseguiu uma resposta depois de envolver a equipe do WordPress.org na investiga\u00e7\u00e3o. Em 15 de outubro de 2021, os arquivos afetados pelo backdoor foram removidos do site da AccessPress, e novas vers\u00f5es dos complementos foram lan\u00e7adas em 17 de janeiro de 2022. <\/p>\n

A empresa Sucuri examinou separadamente os sites em que as vers\u00f5es afetadas do AccessPress estavam instaladas e identificou a presen\u00e7a de m\u00f3dulos maliciosos carregados via backdoor, respons\u00e1veis pelo envio de spam e redirecionamento de acessos para sites fraudulentos (os m\u00f3dulos estavam datados de 2019 e 2020). Presume-se que os autores do backdoor vendiam acesso aos sites comprometidos. <\/p>\n

Temas onde foi identificada a inser\u00e7\u00e3o do backdoor: <\/p>\n