پلاگین ها در WordPress.org در حمله زنجیره تامین به صورت پشتی

یک عامل تهدید کد منبع حداقل پنج افزونه میزبانی شده در WordPress.org را تغییر داد تا شامل اسکریپت‌های مخرب PHP باشد که حساب‌های جدیدی با امتیازات مدیریتی در وب‌سایت‌هایی که آنها را اجرا می‌کنند ایجاد می‌کنند.
این حمله توسط تیم اطلاعاتی Wordfence Threat Intelligence دیروز کشف شد، اما به نظر می‌رسد که تزریق‌های مخرب در اواخر هفته گذشته، بین 21 ژوئن و 22 ژوئن رخ داده است.
به محض اینکه Wordfence این نقض را کشف کرد، شرکت توسعه دهندگان افزونه را مطلع کرد که منجر به انتشار وصله‌های دیروز برای اکثر محصولات شد.
این پنج افزونه با هم در بیش از 35000 وب سایت نصب شده اند:
Social Warfare 4.4.6.4 تا 4.4.7.1 (در نسخه 4.4.7.3 رفع شد)
Blaze Widget 2.2.5 تا 2.5.2 (در نسخه 2.5.4 رفع شد)
Wrapper Link Element 1.0.2 تا 1.0.3 (در نسخه 1.0.5 ثابت شده است)
فرم تماس 7 افزونه چند مرحله ای 1.0.4 تا 1.0.5 (در نسخه 1.0.7 ثابت شده است)
به سادگی Hooks 1.2.1 تا 1.2.2 را نشان دهید (هنوز اصلاحی در دسترس نیست)
Wordfence خاطرنشان می کند که نمی داند عامل تهدید چگونه توانسته به کد منبع افزونه ها دسترسی پیدا کند، اما تحقیقات در حال بررسی آن است.
اگرچه ممکن است این حمله بر تعداد بیشتری از افزونه‌های وردپرس تأثیر بگذارد، شواهد فعلی نشان می‌دهد که سازش به مجموعه پنج مورد فوق‌الذکر محدود می‌شود.
عملیات Backdoor و IoC ها
کد مخرب موجود در افزونه های آلوده تلاش می کند تا حساب های مدیریتی جدیدی ایجاد کند و هرزنامه سئو را به وب سایت در معرض خطر تزریق کند.
Wordfence توضیح می دهد: “در این مرحله، ما می دانیم که بدافزار تزریق شده تلاش می کند تا یک حساب کاربری مدیریتی جدید ایجاد کند و سپس آن جزئیات را به سرور کنترل شده توسط مهاجم ارسال می کند.”
علاوه بر این، به نظر می‌رسد که عامل تهدید جاوا اسکریپت مخرب را به پاورقی وب‌سایت‌ها تزریق کرده است که به نظر می‌رسد هرزنامه SEO را در سراسر وب‌سایت اضافه می‌کند.
به گفته محققان، داده‌ها به آدرس IP 94.156.79[.]8 منتقل می‌شود، در حالی که به گفته محققان، حساب‌های مدیریت خودسرانه ایجاد شده «Options» و «PluginAuth» نامیده می‌شوند.
صاحبان وب سایت هایی که متوجه چنین حساب ها یا ترافیکی به آدرس IP مهاجم می شوند باید یک اسکن و پاکسازی کامل بدافزار انجام دهند.
اگر هر یک از این پلاگین ها را نصب کرده اید، باید نصب خود را به خطر بیندازید و فوراً به حالت واکنش حادثه بروید. – حصار کلمه.
Wordfence خاطرنشان می کند که برخی از افزونه های آسیب دیده به طور موقت از WordPress.org حذف شده اند، که ممکن است باعث شود کاربران حتی در صورت استفاده از نسخه اصلاح شده اخطار دریافت کنند.