Saldırganlar, eklentilerinin 40 binden fazla sitede kullanıldığını iddia eden AccessPress'in geliştirdiği WordPress içerik yönetim sistemine yönelik 53 eklenti ve 360 temaya arka kapı yerleştirmeyi başardı. Olayın analizinin sonuçları henüz sağlanmadı ancak kötü amaçlı kodun, AccessPress web sitesinin ele geçirilmesi sırasında tanıtıldığı ve arka kapının mevcut olması nedeniyle halihazırda yayınlanmış sürümlerle indirilmeye sunulan arşivlerde değişiklik yaptığı varsayılıyor. yalnızca resmi AccessPress web sitesi aracılığıyla dağıtılan kodda bulunur, ancak WordPress.org dizini aracılığıyla dağıtılan eklentilerin aynı sürümlerinde yoktur.
Kötü amaçlı değişiklikler, JetPack'teki (WordPress geliştiricisi Otomatik'in bir bölümü) bir araştırmacı tarafından, bir müşterinin web sitesinde bulunan kötü amaçlı kodu incelerken keşfedildi. Durumun analizi, resmi AccessPress web sitesinden indirilen WordPress eklentisinde kötü niyetli değişikliklerin bulunduğunu gösterdi. Aynı üreticinin diğer eklentileri de siteye yönetici haklarıyla tam erişime izin veren kötü niyetli değişikliklere maruz kaldı.
Değişiklik sırasında saldırganlar, “functions.php” dosyasındaki “include” direktifi aracılığıyla bağlanan “initial.php” dosyasını eklenti ve temaların bulunduğu arşivlere ekledi. İzi karıştırmak için "initial.php" dosyasındaki kötü amaçlı içerik, base64 kodlu bir veri bloğu olarak kamufle edildi. Kötü niyetli eklenti, wp-theme-connect.com web sitesinden bir görüntü alma kisvesi altında, arka kapı kodunu doğrudan wp-includes/vars.php dosyasına yükledi.
AccessPress eklentilerinde kötü amaçlı değişiklikler içeren ilk siteler Eylül 2021'de tespit edildi. O zaman arka kapının eklentilere eklendiği varsayılmaktadır. Tespit edilen sorunla ilgili AccessPress'e yapılan ilk bildirim yanıtsız kaldı ve AccessPress ancak WordPress.org ekibini araştırmaya dahil ettikten sonra dikkat çekebildi. 15 Ekim 2021'de arka kapıdan etkilenen arşivler AccessPress web sitesinden kaldırıldı ve eklentilerin yeni sürümleri 17 Ocak 2022'de yayınlandı.
Sucuri, AccessPress'in etkilenen sürümlerinin yüklü olduğu siteleri ayrı ayrı inceledi ve spam gönderen ve geçişleri sahte sitelere yönlendiren bir arka kapı aracılığıyla yüklenen kötü amaçlı modüllerin varlığını tespit etti (modüller 2019 ve 2020 tarihliydi). Arka kapının yazarlarının güvenliği ihlal edilmiş sitelere erişim sattıkları varsayılıyor.
Arka kapı değişikliğinin kaydedildiği temalar:
- erişim arkadaşı 1.0.0
- Accesspress-temel 3.2.1
- Accesspress-lite 2.92
- erişimpress-mag 2.6.5
- Accesspress-paralaks 4.5
- Accesspress-ray 1.19.5
- erişim presi-kök 2.5
- Accesspress-zımba 1.9.1
- erişimpress-mağaza 2.4.9
- ajans-lite 1.1.6
- aplite 1.0.6
- Bingle 1.0.4
- blog yazarı 1.2.6
- inşaat-lite 1.2.5
- doko 1.0.27
- aydınlatmak 1.3.5
- hızlı mağaza 1.2.1
- fotoğrafçılık 2.4.0
- gaga-corp 1.0.8
- gaga-lite 1.4.2
- tek boşluk 2.2.8
- paralaks blogu 3.1.1574941215
- paralaks bazı 1.3.6
- bahis 1.1.2
- döndürme 1.3.1
- dalgalanma 1.2.0
- beni kaydır 2.1.0
- spor mag 1.2.1
- mağazavilla 1.4.1
- swing-lite 1.1.9
- başlatıcı 1.3.2
- pazartesi 1.4.1
- kod çözme lite 1.3.1
- unicon-lite 1.2.6
- vmag 1.2.7
- vmagazine-lite 1.3.5
- vmagazine-haberler 1.0.5
- zigcy-bebek 1.0.6
- zigcy-kozmetik 1.0.5
- zigcy-lite 2.0.9
Arka kapı değişikliğinin tespit edildiği eklentiler:
- erişim-anonim-post 2.8.0 2.8.1 1
- Accesspress-özel-css 2.0.1 2.0.2
- Accesspress-özel-post-tipi 1.0.8 1.0.9
- erişimpress-facebook-otomatik gönderi 2.1.3 2.1.4
- erişimpress-instagram-feed 4.0.3 4.0.4
- erişimpress-pinterest 3.3.3 3.3.4
- erişimpress-sosyal-sayaç 1.9.1 1.9.2
- Accesspress-sosyal-simgeler 1.8.2 1.8.3
- erişimpress-sosyal-giriş-lite 3.4.7 3.4.8
- erişimbaskı-sosyal-paylaşım 4.5.5 4.5.6
- erişimpress-twitter-otomatik gönderi 1.4.5 1.4.6
- erişimpress-twitter-feed 1.6.7 1.6.8
- ak-menü-simgeleri-lite 1.0.9
- ap arkadaşı 1.0.7 2
- ap-iletişim formu 1.0.6 1.0.7
- ap-özel-referans 1.4.6 1.4.7
- ap-mega-menü 3.0.5 3.0.6
- ap-fiyatlandırma-tabloları-lite 1.1.2 1.1.3
- apex-bildirim-bar-lite 2.0.4 2.0.5
- cf7-mağazadan db-lite'a 1.0.9 1.1.0
- yorumlar-erişimi devre dışı bırak-basın 1.0.7 1.0.8
- kolay yan sekme cta 1.0.7 1.0.8
- everest-admin-tema-lite 1.0.7 1.0.8
- everest-çok yakında-lite 1.1.0 1.1.1
- everest-yorum-derecelendirme-lite 2.0.4 2.0.5
- everest-counter-lite 2.0.7 2.0.8
- everest-sss-yönetici-lite 1.0.8 1.0.9
- everest-galeri-lite 1.0.8 1.0.9
- everest-google-places-incelemeler-lite 1.0.9 2.0.0
- everest-inceleme-lite 1.0.7
- everest-tab-lite 2.0.3 2.0.4
- everest-zaman çizelgesi-lite 1.1.1 1.1.2
- satır içi eylem çağrısı oluşturucu-lite 1.1.0 1.1.1
- woocommerce-lite için ürün kaydırıcısı 1.1.5 1.1.6
- smart-logo-vitrin-lite 1.1.7 1.1.8
- akıllı kaydırma gönderileri 2.0.8 2.0.9
- akıllı kaydırmadan üst lite'ye 1.0.3 1.0.4
- toplam-Gdpr-uyumluluk-lite 1.0.4
- toplam takım-lite 1.1.1 1.1.2
- nihai yazar kutusu lite 1.1.2 1.1.3
- Ultimate-form-builder-lite 1.5.0 1.5.1
- woo-rozet-tasarımcı-lite 1.1.0 1.1.1
- wp-1-kaydırıcı 1.2.9 1.3.0
- wp-blog-manager-lite 1.1.0 1.1.2
- wp-comment-designer-lite 2.0.3 2.0.4
- wp-cookie-kullanıcı bilgisi 1.0.7 1.0.8
- wp-facebook-inceleme-vitrin-lite 1.0.9
- wp-fb-messenger-button-lite 2.0.7
- wp-floating-menü 1.4.4 1.4.5
- wp-media-manager-lite 1.1.2 1.1.3
- wp-popup-banner'lar 1.2.3 1.2.4
- wp-popup-lite 1.0.8
- wp-ürün-galeri-lite 1.1.1
Kaynak: opennet.ru