🥇Backdoor în 93 de pluginuri și teme AccessPress, utilizate pe 360 de mii de site-uri

Atacatorii au reușit să integreze un backdoor în 40 de pluginuri și 53 de teme pentru sistemul de gestionare a conținutului WordPress, dezvoltate de AccessPress, care afirmă că extensiile sale sunt folosite pe mai mult de 360 de mii de site-uri. Rezultatele analizei incidentului nu sunt deocamdată disponibile, dar se presupune că codul malițios a fost injectat în timpul compromiterii site-ului AccessPress, prin modificarea arhivelor propuse pentru descărcare cu versiunile deja publicate, având în vedere că backdoor-ul se găsește doar în codul distribuit prin intermediul site-ului oficial AccessPress, dar lipsește din aceleași versiuni de extensii distribuite prin catalogul WordPress.org.

Prezența modificărilor malițioase a fost identificată de un cercetător de la JetPack (divizie a companiei Automatic, care dezvoltă WordPress) în timpul analizei codului malițios descoperit pe site-ul unuia dintre clienți. Analiza situației a arătat că modificările malițioase erau prezente în extensia WordPress descărcată de pe site-ul oficial AccessPress. Alte extensii ale aceleași firme s-au dovedit de asemenea a fi vulnerabile la modificări malițioase, permițând accesul complet la site cu privilegii de administrator.

În timpul modificărilor, atacatorii au adăugat în arhivele pluginurilor și temelor fișierul „initial.php”, care a fost inclus prin directiva „include” din fișierul „functions.php”. Pentru a-și masca urmele, conținutul malițios din fișierul „initial.php” a fost camuflat sub forma unui bloc de date în codificarea base64. Inserția malițioasă sub forma obținerii unei imagini de pe site-ul wp-theme-connect.com încărca în fișierul wp-includes/vars.php direct codul backdoor-ului.

Un backdoor în 93 de pluginuri și teme AccessPress, utilizate pe 360 de mii de site-uri

Primele site-uri care conțineau modificări malițioase în extensiile AccessPress au fost identificate în septembrie 2021. Se presupune că exact atunci backdoor-ul a fost introdus în extensii. Primul avertisment către AccessPress referitor la problema descoperită a rămas fără răspuns și atenție, iar AccessPress a obținut rezultatele doar după implicarea echipei WordPress.org. Pe 15 octombrie 2021, arhivele afectate de backdoor au fost eliminate de pe site-ul AccessPress, iar pe 17 ianuarie 2022 au fost lansate versiuni noi ale extensiilor.

Compania Sucuri a analizat separat site-urile pe care au fost instalate versiunile afectate AccessPress și a descoperit module malițioase încărcate printr-o intrare în sistem care trimiteau spam și redirecționau vizitatorii către site-uri înșelătoare (modulele erau datate în 2019 și 2020). Se presupune că autorii intrării în sistem vindeau acces la site-urile compromise.

Temele de design în care a fost observată înlocuirea cu intrarea în sistem: