Невідомий хакер впровадив бекдор в вихідний код плагіна для WordPress, який маскується під засіб захисту від спаму під назвою X-WP-SPAM-SHIELD-PRO.
По всій видимості, зловмисник намагався використовувати репутацію популярного інструменту для захисту від спаму WordPress WP-SpamShield Anti-Spam. Підроблений плагін містить бекдор,
дозволяє хакеру створити власний обліковий запис адміністратора на атакованому сайті, завантажити файли на сервери жертви, відключити всі плагіни і ін.
дозволяє хакеру створити власний обліковий запис адміністратора на атакованому сайті, завантажити файли на сервери жертви, відключити всі плагіни і ін.
Шкідливе поведінку поширюється на всі файли підробленого плагіна. Зокрема, файл class-social-facebook.
php маскується під засіб захисту від спаму в соціальних мережах і відправляє зловмисникові список плагінів користувача і при необхідності відключає їх. Мета відключення всіх плагінів полягає в тому, щоб деактивувати всі плагіни, що блокують доступ до функцій авторизації або детектирующие спроби неавторизованого входу. Файли class-term-metabox-formatter.php і class-admin-user-profile.php відправляють зловмисникові інформацію про версії WordPress і список всіх користувачів з правами адміністратора. Plugin-header.php додає обліковий запис з правами адміністратора під ім’ям mw01main. Файл wp-spam-shield-pro.php зв’язується з сервером хакера, розташованому на mainwall.org,
обізнані його про встановлення шкідливого плагіна новим користувачем. Інформація, передана цим файлом, включає облікові дані, URL-адресу зараженого сайту і IP-адреса сервера. Wp-spam-shield-pro.php також містить шкідливий код, що дозволяє зловмисникові завантажити на сайт жертви ZIP-архів,
розпакувати його і виконати зберігаються всередині файли.
php маскується під засіб захисту від спаму в соціальних мережах і відправляє зловмисникові список плагінів користувача і при необхідності відключає їх. Мета відключення всіх плагінів полягає в тому, щоб деактивувати всі плагіни, що блокують доступ до функцій авторизації або детектирующие спроби неавторизованого входу. Файли class-term-metabox-formatter.php і class-admin-user-profile.php відправляють зловмисникові інформацію про версії WordPress і список всіх користувачів з правами адміністратора. Plugin-header.php додає обліковий запис з правами адміністратора під ім’ям mw01main. Файл wp-spam-shield-pro.php зв’язується з сервером хакера, розташованому на mainwall.org,
обізнані його про встановлення шкідливого плагіна новим користувачем. Інформація, передана цим файлом, включає облікові дані, URL-адресу зараженого сайту і IP-адреса сервера. Wp-spam-shield-pro.php також містить шкідливий код, що дозволяє зловмисникові завантажити на сайт жертви ZIP-архів,
розпакувати його і виконати зберігаються всередині файли.
Як вважають експерти з безпеки з компанії Sucuri, для поширення фальшивки зловмисник використовував скомпрометовану версію відомого пакету плагінів для WordPress All In One SEO Pack. Зловмисник не публікував плагін в офіційному репозиторії WordPress,
поширюючи його через інші джерела.
поширюючи його через інші джерела.
0 Коментарі