Хакиран пакет додатоци за WordPress за да се пласира малициозен софтвер на илјадници страници

Повеќе од 30 WordPress додатоци од пакетот EssentialPlugin се компромитирани со малициозен код кој овозможува неовластен пристап до веб-страниците што ги користат.

Малициозен актер го вметнал „backdoor“ кодот уште минатата година, но дури неодамна започнал да го испорачува до корисниците преку ажурирања, генерирајќи спам страници и предизвикувајќи пренасочувања, согласно инструкциите добиени од командно-контролниот (C2) сервер.

Компромитацијата ги зафаќа додатоци со стотици илјади активни инсталации и била откриена од страна на Austin Ginder, основач на провајдерот за управуван WordPress хостинг Anchor Hosting, откако добил дојава за еден додаток што содржел код кој овозможува пристап од трети страни.

Понатамошната истрага на Ginder открила дека „backdoor“-от бил присутен во сите додатоци во пакетот EssentialPlugin уште од август 2025 година, откако проектот бил продаден за шестцифрена сума на нов сопственик.

EssentialPlugin, основан во 2015 година како WP Online Support и ребрендиран во 2021 година, е компанија за развој на WordPress која нуди слајдери, галерии, маркетинг алатки, WooCommerce екстензии, SEO/аналитички алатки и теми.

Според Ginder, „backdoor“-от бил неактивен сè до неодамна, кога бил активиран и тивко контактирал со надворешна инфраструктура за да преземе датотека („wp-comments-posts.php“) која вметнува малициозен код во „wp-config.php“.

Преземениот малициозен софтвер е невидлив за сопствениците на сајтови и користи Ethereum-базирана резолуција на C2 адреси за избегнување на детекција. Во зависност од добиените инструкции, малициозниот код може да презема „спам линкови, пренасочувања и лажни страници“.

„Вметнатиот код беше софистициран. Преземаше спам линкови, пренасочувања и лажни страници од C2 сервер. Го прикажуваше спамот само на Googlebot, што го правеше невидлив за сопствениците на сајтови“, објасни Ginder.

Анализата од WordPress безбедносната платформа PatchStack покажува дека „backdoor“-от функционирал само ако endpoint-от „analytics.essentialplugin.com“ врати малициозен серијализиран содржински одговор.

Акции на WordPress и статус на инфекцијата

WordPress.org брзо реагираше на извештаите за малициозната активност со затворање на погодените додатоци и со принудно ажурирање на веб-страниците, со цел да се неутрализира комуникацијата на „backdoor“-от и да се оневозможи неговото извршување.

Сепак, развивачите предупредија дека оваа акција не ја исчистила основната конфигурациска датотека „wp-config.php“, која ги поврзува веб-страниците со нивните бази на податоци и содржи важни поставки.

Тимот за додатоци на WordPress.org, исто така, ги предупреди администраторите на веб-страници кои користат производи од EssentialPlugin дека, иако една позната локација на „backdoor“-от е датотеката „wp-comments-posts.php“ (која наликува на легитимната „wp-comments-post.php“), малициозниот код може да се крие и во други датотеки.

BleepingComputer стапи во контакт со EssentialPlugin за коментар во врска со пријавениот малициозен commit што се случил по аквизицијата, но до моментот на објавување не беше добиен одговор.

Извори:

• Bleeping Computer – WordPress plugin suite hacked to push malware to thousands of sites Bleeping Computer