Actualizările unui plugin compromis au introdus o ușă ascunsă în aproximativ 1.500 de site-uri WordPress

Un plugin WordPress plătit a devenit un canal de distribuire a unui backdoor după ce cineva a pătruns pe site-ul care distribuie actualizările acestuia. Conform raportului inițial, dezvoltatorul Admin Menu Editor Pro a constatat că o persoană neautorizată a încărcat o versiune modificată, iar versiunea de înlocuire lansată câteva ore mai târziu a fost, de asemenea, modificată, deoarece intrusul încă avea acces. Se știe că aproximativ 230 de clienți și cel puțin 1.500 de site-uri au instalat o versiune rău intenționată, iar numărul real ar putea fi mai mare.

Ce s-a întâmplat

Admin Menu Editor Pro este ediția comercială a unui plugin utilizat pentru reorganizarea panoului de control WordPress, ascunderea pluginurilor și setarea regulilor de acces în funcție de rol; versiunea gratuită este instalată pe peste 300.000 de site-uri și nu pare să fie afectată. Atacatorul a accesat adminmenueditor.com și a publicat versiunea 2.35, care conținea un fișier numit includes/wp-user-consent.php, care instala un web shell și crea un cont de administrator ascuns. Dezvoltatorul, Janis Elsts, afirmă că acea versiune a fost disponibilă pentru descărcare timp de aproximativ șapte ore înainte de a fi retrasă și că versiunea curată 2.36, pe care a publicat-o în aceeași seară, a fost, de asemenea, compromisă ulterior.

Ancheta sugerează că intrusul a avut acces la nivel de root la server, astfel încât site-ul a fost scos offline și înlocuit cu o pagină statică dedicată incidentului. Se consideră că versiunea 2.34 este curată. Indicatorii de compromitere enumerați în raport includ fișierul wp-user-consent.php, un nou director /wp-content/object-cache/, un utilizator din wp_users al cărui nume începe cu wp_ și care s-ar putea să nu apară în panoul de control, precum și intrările wp_ocache* din wp_options. Soluția recomandată este restaurarea dintr-o copie de rezervă realizată înainte de 14 septembrie; în caz contrar, eliminarea pluginului, a directorului și a acelor înregistrări din baza de date.

De ce este important

Pentru o companie mică, un plugin plătit de la un autor cunoscut este de obicei considerat opțiunea mai sigură. Acest incident arată că problema nu ține de calitatea codului, ci de canalul de distribuție: actualizările automate preluate de pe serverul propriu al furnizorului, fără verificare din partea registrului și, adesea, fără semnătură care să poată fi verificată. Două versiuni compromise într-o singură zi înseamnă, de asemenea, că „actualizarea la cea mai recentă versiune” a fost o instrucțiune greșită timp de câteva ore — o problemă dificilă pentru oricine rulează actualizări automate pe o serie de site-uri ale clienților.

Încărcătura este de tipul celui care supraviețuiește curățării: un administrator ascuns plus un web shell oferă acces persistent, independent de pluginul în sine. Ștergerea pluginului nu este suficientă pentru a închide această breșă. Și deoarece site-ul furnizorului a fost scos offline, echipele nu se pot baza pe canalul obișnuit pentru a confirma ce versiune au.

Ce trebuie făcut

• Dacă dumneavoastră sau clienții dumneavoastră utilizați Admin Menu Editor Pro, verificați chiar acum cei patru indicatori de mai sus, inclusiv înregistrările din baza de date. Nu presupuneți că un site nu este compromis doar pentru că pluginul pare normal.
• În cazul în care un site este afectat, restaurați-l dintr-o copie de rezervă anterioară datei de 14 septembrie, dacă există una. În caz contrar, curățați manual, apoi schimbați toate parolele de administrator, parolele aplicațiilor și orice chei sau token-uri stocate pe site.
• Revizuiți-vă politica de actualizare pentru pluginurile premium care ocolește depozitul wordpress.org. Testarea pe un mediu de testare mai întâi, o scurtă întârziere înainte de lansarea în producție și monitorizarea integrității fișierelor din wp-content detectează mai bine acest tip de atac decât viteza.
• Țineți un inventar al pluginurilor cu plată utilizate de fiecare site și al surselor de actualizare ale fiecăruia. În timpul unui incident de acest gen, lista respectivă determină dacă trierea durează o oră sau o săptămână.