🥇Backdoor në 93 pluginë dhe tema AccessPress, të përdorura në 360 mijë faqe

Sulmuesit arritën të fusin një backdoor në 40 shtojca dhe 53 tema për sistemin e menaxhimit të përmbajtjes WordPress, të zhvilluara nga AccessPress, e cila deklaron se zgjerimet e saj përdoren në më shumë se 360 mijë faqe. Detajet e analizës së incidentit ende nuk janë publikuar, por mendohet se kodi keqdashës është futur pas komprometimit të faqes së AccessPress, duke ndryshuar arkivat e ofruara për shkarkim të versioneve tashmë të publikuara, pasi backdoor-i gjendet vetëm në kodin e shpërndarë përmes faqes zyrtare të AccessPress dhe mungon në të njëjtat versione të shtojcave të shpërndara përmes katalogut WordPress.org.

Prania e ndryshimeve keqdashëse u zbulua nga një studiues i kompanisë JetPack (një divizion i kompanisë Automatic, që merret me zhvillimin e WordPress) gjatë analizës së kodit keqdashës të gjetur në faqen e njërit prej klientëve. Analiza e situatës tregoi se ndryshimet keqdashëse ishin të pranishme në një shtojcë WordPress të shkarkuar nga faqja zyrtare e AccessPress. Edhe shtojcat e tjera të të njëjtit prodhues rezultuan të prekura nga modifikime keqdashëse, që mundësonin marrjen e aksesit të plotë në faqe me të drejta administratori.

Gjatë modifikimit, sulmuesit shtuan në arkivat me shtojca dhe tema skedarin «initial.php», i cili përfshihej përmes direktivës «include» në skedarin «functions.php». Për të fshehur gjurmët, përmbajtja keqdashëse në skedarin «initial.php» ishte kamufluar si një bllok të dhënash në kodimin base64. Injektimi keqdashës, nën pretekstin e marrjes së një imazhi nga faqja wp-theme-connect.com, ngarkonte drejtpërdrejt kodin e backdoor-it në skedarin wp-includes/vars.php.

Backdoor në 93 shtojca dhe tema AccessPress, të përdorura në 360 mijë faqe

Faqet e para që përfshinin ndryshimet keqdashëse në shtojcat AccessPress u identifikuan në shtator 2021. Supozohet se pikërisht atëherë backdoor-i u fut në këto shtojca. Njoftimi i parë drejtuar AccessPress për problemin e zbuluar mbeti pa përgjigje dhe vëmendja e AccessPress u arrit vetëm pasi në shqyrtim u përfshi ekipi i WordPress.org. Më 15 tetor 2021, arkivat e prekura nga backdoor-i u hoqën nga faqja e AccessPress, ndërsa më 17 janar 2022 u publikuan versione të reja të shtojcave.

Kompania Sucuri analizoi veçmas faqet ku ishin instaluar versionet e komprometuara të AccessPress dhe zbuloi module të dëmshme të ngarkuara përmes backdoor-it, të përdorura për dërgim spam-i dhe ridrejtim të vizitorëve në faqe mashtruese (modulet ishin të datuara në vitet 2019 dhe 2020). Supozohet se autorët e backdoor-it shisnin qasje te faqet e komprometuara.

Temat ku është konstatuar injektimi i backdoor-it: