Нападачи су успели да уграде бекдор у 40 додатака и 53 теме за систем за управљање садржајем ВордПресс, који је развио АццессПресс, који тврди да се његови додаци користе на више од 360 хиљада сајтова. Резултати анализе инцидента још нису објављени, али се претпоставља да је злонамерни код унет приликом компромитовања веб сајта АццессПресс, уносећи измене у архиве које се нуде за преузимање са већ објављеним издањима, пошто је бекдор присутан. само у коду који се дистрибуира преко званичне АццессПресс веб странице, али га нема у тим истим издањима додатака који се дистрибуирају преко ВордПресс.орг директоријума.
Злонамерне промене је открио истраживач у ЈетПацк-у (одељење ВордПресс програмера Аутоматиц) док је испитивао злонамерни код пронађен на веб локацији клијента. Анализа ситуације показала је да су присутне злонамерне промене у ВордПресс додатку преузетом са званичног сајта АццессПресс. Остали додаци истог произвођача такође су били подложни злонамерним модификацијама које су омогућавале пун приступ сајту са администраторским правима.
Током модификације, нападачи су у архиву са додацима и темама додали датотеку „инитиал.пхп“, која је била повезана преко „инцлуде“ директиве у датотеци „фунцтионс.пхп“. Да би се збунио траг, злонамерни садржај у датотеци „инитиал.пхп“ је камуфлиран као басе64 кодирани блок података. Злонамерни уметак, под маском добијања слике са веб локације вп-тхеме-цоннецт.цом, директно је учитао бацкдоор код у датотеку вп-инцлудес/варс.пхп.
Прве локације које су укључивале злонамерне промене додатака АццессПресс идентификоване су у септембру 2021. Претпоставља се да је тада у додатке убачен бацкдоор. Прво обавештење за АццессПресс о идентификованом проблему остало је без одговора, а АццессПресс је успео да привуче пажњу тек након што је тим ВордПресс.орг укључио у истрагу. 15. октобра 2021. године, архиве погођене бекдором су уклоњене са веб локације АццессПресс, а нове верзије додатака објављене су 17. јануара 2022.
Суцури је засебно испитао сајтове на којима су инсталиране захваћене верзије АццессПресс-а и идентификовао присуство злонамерних модула учитаних кроз бацкдоор који је слао нежељену пошту и преусмеравао прелазе на лажне сајтове (модули су датирани 2019. и 2020.). Претпоставља се да су аутори бекдора продавали приступ компромитованим сајтовима.
Теме које садрже бацкдоор замену:
- аццессбудди 1.0.0
- аццесспресс-басиц 3.2.1
- аццесспресс-лите 2.92
- аццесспресс-маг 2.6.5
- аццесспресс-паралакса 4.5
- аццесспресс-раи 1.19.5
- аццесспресс-роот 2.5
- аццесспресс-стапле 1.9.1
- аццесспресс-сторе 2.4.9
- агенци-лите 1.1.6
- аплите 1.0.6
- бингле 1.0.4
- блоггер 1.2.6
- цонструцтион-лите 1.2.5
- доко 1.0.27
- просветлити 1.3.5
- фасхсторе 1.2.1
- фотографија 2.4.0
- гага-цорп 1.0.8
- гага-лите 1.4.2
- једнопросторни 2.2.8
- параллак-блог 3.1.1574941215
- параллаксоме 1.3.6
- пунте 1.1.2
- револве 1.3.1
- риппле 1.2.0
- сцроллме 2.1.0
- спортсмаг 1.2.1
- сторевилла 1.4.1
- свинг-лите 1.1.9
- тхе-лаунцхер 1.3.2
- понедељак 1.4.1
- унцоде-лите 1.3.1
- уницон-лите 1.2.6
- вмаг 1.2.7
- вмагазине-лите 1.3.5
- вмагазине-невс 1.0.5
- зигци-баби 1.0.6
- зигци-цосметицс 1.0.5
- зигци-лите 2.0.9
Додаци у којима је откривена замена бацкдоор:
- аццесспресс-анонимоус-пост 2.8.0 2.8.1 1
- аццесспресс-цустом-цсс 2.0.1 2.0.2
- аццесспресс-цустом-пост-типе 1.0.8 1.0.9
- аццесспресс-фацебоок-ауто-пост 2.1.3 2.1.4
- аццесспресс-инстаграм-феед 4.0.3 4.0.4
- аццесспресс-пинтерест 3.3.3 3.3.4
- аццесспресс-социал-цоунтер 1.9.1 1.9.2
- аццесспресс-социал-ицонс 1.8.2 1.8.3
- аццесспресс-социал-логин-лите 3.4.7 3.4.8
- аццесспресс-социал-схаре 4.5.5 4.5.6
- аццесспресс-твиттер-ауто-пост 1.4.5 1.4.6
- аццесспресс-твиттер-феед 1.6.7 1.6.8
- ак-мену-ицонс-лите 1.0.9
- ап-пратилац 1.0.7 2
- ап-контакт-образац 1.0.6 1.0.7
- ап-цустом-тестимониал 1.4.6 1.4.7
- ап-мега-мени 3.0.5 3.0.6
- ап-прицинг-таблес-лите 1.1.2 1.1.3
- апек-нотифицатион-бар-лите 2.0.4 2.0.5
- цф7-сторе-то-дб-лите 1.0.9 1.1.0
- цомментс-дисабле-аццесспресс 1.0.7 1.0.8
- еаси-сиде-таб-цта 1.0.7 1.0.8
- еверест-админ-тхеме-лите 1.0.7 1.0.8
- еверест-цоминг-соон-лите 1.1.0 1.1.1
- еверест-цоммент-ратинг-лите 2.0.4 2.0.5
- еверест-цоунтер-лите 2.0.7 2.0.8
- еверест-фак-манагер-лите 1.0.8 1.0.9
- еверест-галлери-лите 1.0.8 1.0.9
- еверест-гоогле-плацес-ревиевс-лите 1.0.9 2.0.0
- еверест-ревиев-лите 1.0.7
- еверест-таб-лите 2.0.3 2.0.4
- еверест-тимелине-лите 1.1.1 1.1.2
- инлине-цалл-то-ацтион-буилдер-лите 1.1.0 1.1.1
- производ-клизач-за-вооцоммерце-лите 1.1.5 1.1.6
- смарт-лого-сховцасе-лите 1.1.7 1.1.8
- смарт-сцролл-постс 2.0.8 2.0.9
- смарт-сцролл-то-топ-лите 1.0.3 1.0.4
- тотал-гдпр-цомплианце-лите 1.0.4
- тотал-теам-лите 1.1.1 1.1.2
- ултимате-аутхор-бок-лите 1.1.2 1.1.3
- ултимате-форм-буилдер-лите 1.5.0 1.5.1
- воо-бадге-десигнер-лите 1.1.0 1.1.1
- вп-1-слидер 1.2.9 1.3.0
- вп-блог-манагер-лите 1.1.0 1.1.2
- вп-цоммент-десигнер-лите 2.0.3 2.0.4
- вп-цоокие-усер-инфо 1.0.7 1.0.8
- вп-фацебоок-ревиев-сховцасе-лите 1.0.9
- вп-фб-мессенгер-буттон-лите 2.0.7
- вп-флоатинг-мену 1.4.4 1.4.5
- вп-медиа-манагер-лите 1.1.2 1.1.3
- вп-попуп-баннерс 1.2.3 1.2.4
- вп-попуп-лите 1.0.8
- вп-продуцт-галлери-лите 1.1.1
Извор: опеннет.ру