Xakep #305. Многошаговые SQL-инъекции
В последние недели проблемы экосистемы плагинов для WordPress удостоились пристального внимание экспертов. Так, еще три года назад бэкдоры были обнаружены в составе 14 плагинов для популярной CMS, которые после этого были удалены из официального репозитория. Но недавнее исследование показало, что сотни сайтов по-прежнему работают с этими опасными решениями.
Чуть раньше в WordPress Plugins Directory был обнаружен более свежий плагин Captcha, тоже содержавший бэкдор. Captcha был установлен на 300 000 сайтов. В итоге разработчики WordPress пошли на беспрецедентные меры и принудительно обновили вредоносную версию плагина на «чистую».
Теперь аналитики компании Wordfence сообщили, что аналогичной проблеме подвержены еще три плагина.
| Название плагина | Количество активных установок | Дата добавление бэкдора | Куда обращается бэкдор | Дата удаления командой безопасности WordPress |
| Duplicate Page and Post | 50 000+ | v2.1.0 (Август 2017) | cloud-wp.org | 14 декабря 2017 |
| No Follow All External Links | 9 000+ | v2.1.0 (Апрель 2017) | cloud.wpserve.org | 19 декабря 2017 |
| WP No External Links | 30 000+ | v4.2.1 (Июль 2017) | wpconnect.org | 22 декабря 2017 |
Ситуация с вышеперечисленными плагинами похожа на предыдущие случаи. Так, все плагины обращаются к удаленным серверам злоумышленников, а также внедряют на страницы зараженных сайтов различный контент и SEO-ссылки.
Исследователи Wordfence полагают, что, скорее всего, заражение всех трех плагинов — дело рук одного и того же злоумышленника. К такому выводу специалисты пришли во время изучения угрозы и проведения тщательного расследования. Так, в двух из трех случаев бэкдоры обращаются к доменам, которые расположены на одном IP-адресе. Два плагина из трех у разработчиков выкупила одна и та же компания, Orb Online. В обоих случаях письма с предложением покупки были написаны по одному и тому же шаблону. И самое главное – во всех трех случаях код бэкдоров практически одинаков.
Аналитики с грустью отмечают, что сейчас мы наблюдаем уже сложившуюся тенденцию или хорошо отработанную мошенническую схема. Некая компания выкупает плагин у его разработчика, выжидает некоторое время, а затем выпускает вредоносное обновление, которое в итоге заражает множество сайтов. Более того, зачастую преступники действуют весьма масштабно.
К примеру, недавнее заражение плагина Captcha бэкдором удалось связать с конкретным человеком. ИБ-эксперты выяснили, что за вредоносной кампанией стоял человек, которого ранее уже уличали в распространении бэкдоров через плагины. По мнению аналитиков, это Мейсон Сойза (Mason Soiza), который ранее был пойман на внедрении вредоносного кода в плагин Display Widgets. Напомню, что данный «продукт» и вовсе удаляли из официального репозитория четыре раза.
