Цей матеріал згенеровано за допомогою штучного інтелекту та опубліковано без попередньої перевірки людиною. Він може містити помилки і не є професійною консультацією. Повідомити про проблему: info@delionsoft.com.
Платний плагін WordPress став каналом поширення бекдору після того, як хтось зламав сайт, що розповсюджує його оновлення. Згідно з первинним повідомленням, розробник Admin Menu Editor Pro виявив, що неавторизована особа завантажила підроблену версію, а версія, випущена на заміну кілька годин потому, також була змінена, оскільки зловмисник все ще мав доступ. Відомо, що приблизно 230 клієнтів і щонайменше 1 500 сайтів встановили шкідливу версію, а реальна кількість може бути більшою.
Що сталося
Admin Menu Editor Pro — це комерційна версія плагіна, що використовується для реорганізації панелі управління WordPress, приховування плагінів та встановлення правил доступу залежно від ролі; безкоштовна версія встановлена на понад 300 000 сайтів і, судячи з усього, не постраждала. Зловмисник отримав доступ до сайту adminmenueditor.com і опублікував версію 2.35, що містила файл із назвою includes/wp-user-consent.php, який встановлював веб-шелл і створював прихований обліковий запис адміністратора. Розробник, Яніс Елстс, заявляє, що цю версію можна було завантажити протягом приблизно семи годин, перш ніж її було вилучено, і що чиста версія 2.36, яку він опублікував того ж вечора, згодом також була скомпрометована.
Результати розслідування свідчать про те, що зловмисник мав доступ до сервера на рівні root, тому сайт було вимкнено та замінено статичною сторінкою про інцидент. Вважається, що версія 2.34 є чистою. Серед ознак злому, перелічених у звіті, — файл wp-user-consent.php, новий каталог /wp-content/object-cache/, користувач у таблиці wp_users, ім’я якого починається з wp_ і може не відображатися на панелі адміністратора, а також записи wp_ocache* у таблиці wp_options. Рекомендованим способом усунення проблеми є відновлення з резервної копії, створеної до 14 вересня; якщо це неможливо, слід видалити плагін, каталог та відповідні записи в базі даних.
Чому це важливо
Для невеликої компанії платний плагін від відомого автора зазвичай вважається більш безпечним варіантом. Цей інцидент показує, що причиною збою є не якість коду, а канал розповсюдження: автоматичні оновлення, що завантажуються з власного сервера постачальника, без перевірки реєстром і часто без підпису для верифікації. Два скомпрометовані випуски за один день також означають, що протягом кількох годин порада «оновити до останньої версії» була хибною — це серйозна проблема для тих, хто використовує автоматичні оновлення на цілій мережі клієнтських сайтів.
Корисне навантаження такого типу витримує очищення: прихований адміністратор та веб-шелл забезпечують постійний доступ, незалежний від самого плагіна. Видалення лише самого плагіна не усуває загрозу. А оскільки сайт постачальника було відключено, команди не можуть покластися на звичний канал для підтвердження того, яку саме збірку вони мають.
Що робити
- Якщо ви або ваші клієнти використовуєте Admin Menu Editor Pro, негайно перевірте наявність чотирьох зазначених вище ознак, включаючи записи в базі даних. Не вважайте, що сайт не уражений, лише тому що плагін виглядає нормально.
- Якщо сайт уражений, відновлюйте його з резервної копії, зробленої до 14 вересня, якщо така є. В іншому разі очистіть сайт вручну, а потім змініть усі паролі адміністраторів, паролі застосунків та будь-які ключі чи токени, що зберігаються на сайті.
- Перегляньте свою політику оновлення для преміум-плагінів, які обходять репозиторій wordpress.org. Попереднє тестування на тестовому середовищі, невелика затримка перед запуском у виробництво та моніторинг цілісності файлів у папці
wp-contentдозволяють краще виявляти цей тип атак, ніж швидкість оновлення. - Ведіть перелік платних плагінів, які використовує кожен сайт, та джерел їх оновлення. Під час подібного інциденту саме цей перелік визначає, чи триватиме сортування проблем годину чи тиждень.