Sulmuesit arritën të futnin një prapavijë në 40 shtojca dhe 53 tema për sistemin e menaxhimit të përmbajtjes WordPress, të zhvilluar nga AccessPress, i cili pretendon se shtesat e tij përdoren në më shumë se 360 mijë sajte. Rezultatet e analizës së incidentit nuk janë dhënë ende, por supozohet se kodi me qëllim të keq është futur gjatë komprometimit të faqes së internetit AccessPress, duke bërë ndryshime në arkivat e ofruara për shkarkim me publikimet tashmë të lëshuara, pasi prapambetura është e pranishme. vetëm në kodin e shpërndarë përmes faqes zyrtare të AccessPress, por mungon në ato të njëjtat versione të shtesave të shpërndara përmes drejtorisë WordPress.org.
Ndryshimet me qëllim të keq u zbuluan nga një studiues në JetPack (një ndarje e zhvilluesit të WordPress Automatic) gjatë ekzaminimit të kodit me qëllim të keq të gjetur në faqen e internetit të një klienti. Një analizë e situatës tregoi se ndryshimet me qëllim të keq ishin të pranishme në shtesën WordPress të shkarkuar nga faqja zyrtare e AccessPress. Shtesa të tjera nga i njëjti prodhues ishin gjithashtu subjekt i modifikimeve me qëllim të keq që lejuan akses të plotë në sajt me të drejta administratori.
Gjatë modifikimit, sulmuesit shtuan skedarin "initial.php" në arkivat me shtojca dhe tema, i cili u lidh nëpërmjet direktivës "include" në skedarin "functions.php". Për të ngatërruar gjurmët, përmbajtja me qëllim të keq në skedarin "initial.php" u kamuflua si një bllok i koduar bazë64 i të dhënave. Futja me qëllim të keq, nën maskën e marrjes së një imazhi nga faqja e internetit wp-theme-connect.com, ngarkoi drejtpërdrejt kodin e pasme në skedarin wp-includes/vars.php.
Faqet e para që përfshinin ndryshime me qëllim të keq në shtesat AccessPress u identifikuan në shtator 2021. Supozohet se ishte atëherë që dera e pasme u fut në shtesat. Njoftimi i parë për AccessPress për problemin e identifikuar mbeti pa përgjigje dhe AccessPress ishte në gjendje të tërhiqte vëmendjen vetëm pasi përfshiu ekipin e WordPress.org në hetim. Më 15 tetor 2021, arkivat e prekura nga backdoor u hoqën nga faqja e internetit AccessPress dhe versionet e reja të shtesave u publikuan më 17 janar 2022.
Sucuri ekzaminoi veçmas faqet në të cilat ishin instaluar versionet e prekura të AccessPress dhe identifikoi praninë e moduleve me qëllim të keq të ngarkuar përmes një dere të pasme që dërgonte postë të padëshiruar dhe ridrejtonte kalimet në sajte mashtruese (modulet ishin të datës 2019 dhe 2020). Supozohet se autorët e derës së pasme po shisnin akses në faqet e komprometuara.
Temat në të cilat është regjistruar zëvendësimi i derës së pasme:
- accessbuddy 1.0.0
- accesspress-basic 3.2.1
- accesspress-lite 2.92
- accesspress-mag 2.6.5
- accesspress-parallax 4.5
- accesspress-ray 1.19.5
- accesspress-root 2.5
- accesspress-staple 1.9.1
- accesspress-store 2.4.9
- agjenci-lite 1.1.6
- aplite 1.0.6
- bingle 1.0.4
- bloger 1.2.6
- ndërtim-lite 1.2.5
- doko 1.0.27
- ndriçoj 1.3.5
- fashstore 1.2.1
- fotografia 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- një hapësirë 2.2.8
- parallax-blog 3.1.1574941215
- paralaksome 1.3.6
- punte 1.1.2
- rrotullohem 1.3.1
- valëzim 1.2.0
- scrollme 2.1.0
- magazina sportive 1.2.1
- dyqan vilë 1.4.1
- swing-lite 1.1.9
- lëshuesi 1.3.2
- e hënë 1.4.1
- uncode-lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-news 1.0.5
- zigcy-baby 1.0.6
- zigcy-kozmetikë 1.0.5
- zigcy-lite 2.0.9
Shtojcat në të cilat u zbulua zëvendësimi i dyerve të pasme:
- accesspress-anonymous-post 2.8.0 2.8.1 1
- accesspress-custom-css 2.0.1 2.0.2
- accesspress-custom-post-type 1.0.8 1.0.9
- accesspress-facebook-auto-post 2.1.3 2.1.4
- accesspress-instagram-feed 4.0.3 4.0.4
- accesspress-pinterest 3.3.3 3.3.4
- accesspress-social-counter 1.9.1 1.9.2
- accesspress-social-icons 1.8.2 1.8.3
- accesspress-social-login-lite 3.4.7 3.4.8
- accesspress-social-share 4.5.5 4.5.6
- accesspress-twitter-auto-post 1.4.5 1.4.6
- accesspress-twitter-feed 1.6.7 1.6.8
- ak-menu-ikona-lite 1.0.9
- ap-companion 1.0.7 2
- ap-contact-form 1.0.6 1.0.7
- ap-custom-testimonial 1.4.6 1.4.7
- ap-mega-menu 3.0.5 3.0.6
- ap-pricing-tables-lite 1.1.2 1.1.3
- apex-notification-bar-lite 2.0.4 2.0.5
- cf7-store-to-db-lite 1.0.9 1.1.0
- komente-disable-accesspress 1.0.7 1.0.8
- easy-side-tab-cta 1.0.7 1.0.8
- everest-admin-theme-lite 1.0.7 1.0.8
- everest-coming-soon-lite 1.1.0 1.1.1
- everest-comment-rating-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-faq-manager-lite 1.0.8 1.0.9
- everest-gallery-lite 1.0.8 1.0.9
- everest-google-places-reviews-lite 1.0.9 2.0.0
- everest-review-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-timeline-lite 1.1.1 1.1.2
- inline-call-to-action-builder-lite 1.1.0 1.1.1
- product-slider-for-woocommerce-lite 1.1.5 1.1.6
- smart-logo-showcase-lite 1.1.7 1.1.8
- smart-scroll-posts 2.0.8 2.0.9
- smart-scroll-to-top-lite 1.0.3 1.0.4
- total-gdpr-compliance-lite 1.0.4
- total-team-lite 1.1.1 1.1.2
- ultimate-author-box-lite 1.1.2 1.1.3
- ultimate-form-builder-lite 1.5.0 1.5.1
- woo-badge-designer-lite 1.1.0 1.1.1
- wp-1-rrëshqitës 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-user-info 1.0.7 1.0.8
- wp-facebook-review-showcase-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menu 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banners 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-product-gallery-lite 1.1.1
Burimi: opennet.ru