В плагіні для Wordpress виявлений бекдор

Бекдор містився в підробленому плагін X-WP-SPAM-SHIELD-PRO.

Невідомий хакер впровадив бекдор в вихідний код плагіна для WordPress, який маскується під засіб захисту від спаму під назвою X-WP-SPAM-SHIELD-PRO.

По всій видимості, зловмисник намагався використовувати репутацію популярного інструменту для захисту від спаму WordPress WP-SpamShield Anti-Spam. Підроблений плагін містить бекдор, що дозволяє хакеру створити власний обліковий запис адміністратора на атакованому сайті, завантажити файли на сервери жертви, відключити всі плагіни і ін.

Шкідливе поведінку поширюється на всі файли підробленого плагіна. Зокрема, файл class-social-facebook.php маскується під засіб захисту від спаму в соціальних мережах і відправляє зловмисникові список плагінів користувача і при необхідності відключає їх. Мета відключення всіх плагінів полягає в тому, щоб деактивувати всі плагіни, що блокують доступ до функцій авторизації або детектирующие спроби неавторизованого входу. Файли class-term-metabox-formatter.php і class-admin-user-profile.php відправляють зловмисникові інформацію про версії WordPress і список всіх користувачів з правами адміністратора. Plugin-header.php додає обліковий запис з правами адміністратора під ім'ям mw01main. Файл wp-spam-shield-pro.php зв'язується з сервером хакера, розташованому на mainwall.org, обізнані його про встановлення шкідливого плагіна новим користувачем. Інформація, передана цим файлом, включає облікові дані, URL-адресу зараженого сайту і IP-адреса сервера. Wp-spam-shield-pro.php також містить шкідливий код, що дозволяє зловмисникові завантажити на сайт жертви ZIP-архів, розпакувати його і виконати зберігаються всередині файли.

Як вважають експерти з безпеки з компанії Sucuri, для поширення фальшивки зловмисник використовував скомпрометовану версію відомого пакету плагінів для Wordpress All In One SEO Pack. Зловмисник не публікував плагін в офіційному репозиторії WordPress, поширюючи його через інші джерела.

Нагадаємо, раніше бекдор був виявлений в ще одному плагіні для Wordpress - Display Widgets. Шкідливий код був виявлений в версіях Display Widgets 2.6.1 і Display Widgets 2.6.3. До моменту, коли команда WordPress видалила шкідливі версії плагіна з офіційного репозиторію, їх вже встигло встановити більш 200 тис. Користувачів.