Зловредни версии на плъгина Admin Menu Editor Pro за WordPress бяха разпространени до повече от 200 клиенти, след като автор на заплахата компрометира уебсайта на разработчика и пусна актуализации, които създават скрит потребителски акаунт.

Разработчикът Янис Елстс (Janis Elsts) съобщава, да неоторизирана страна е осъществила достъп до уебсайта adminmenueditor.com в понеделник и е качила версия 2.35 като актуализация за Pro версията на плъгина. Обновяването включва файл includes/wp-user-consent.php, който инсталира уеб шел (web shell) на засегнатите уебсайтове.

След като забелязва пробива, Елстс премахва зловредната актуализация и пуска чиста версия 2.36 на същия ден в 19:00 UTC. Хакерът обаче все още е имал достъп до уебсайта и е компрометирал и новата версия.

Admin Menu Editor Pro е платената версия на Admin Menu Editor – плъгин за WordPress, инсталиран на над 300 000 сайта, който позволява на администраторите да персонализират менюто на таблото за управление (Dashboard), да крият плъгини от други потребители, да задават ограничения за достъп според ролята и да създават пренасочвания при вход/изход.

Елстс съобщи пред BleepingComputer, че зловредната версия 2.35 на Admin Menu Editor Pro е била налична на официалния уебсайт приблизително от 06:00 до 13:00 UTC. Съдържащият се в нея зловреден PHP код също така е създал скрит потребителски акаунт.

Според разработчика най-малко 230 клиенти са инсталирали зловредната актуализация на 1 500 сайта. Въпреки това Елстс предупреждава, че броят на жертвите може да е по-голям, тъй като е трудно да се определи броят на клиентите, използващи троянизирана версия 2.36 на плъгина.

„Въз основа на анализа на логовете на сървъра за актуализации, приблизително 230 клиенти са били засегнати при първоначалната атака. Зловредната версия е била инсталирана на поне 1500 сайта (често по няколко сайта на клиент)“, съобщи Елстс пред BleepingComputer.

„Няколкостотин допълнителни клиенти са изтеглили плъгина в или близо до съответния времеви прозорец и също биха могли да бъдат засегнати“, добави разработчикът.

Разследването показва, че атакуващият най-вероятно е имал достъп до сървъра на ниво root, затова Елстс е решил да защити клиентите, като свали уебсайта офлайн, докато той не бъде възстановен сигурно.

В момента Елстс е публикувал статична страница с подробности за инцидента и какво могат да направят клиентите, за да проверят дали са засегнати, заедно с препоръки за възстановяване на компрометираните уебсайтове в безопасно състояние.

Всеки, който е инсталирал версии Admin Menu Editor Pro 2.35 и 2.36, трябва да провери за следните признаци на компрометиране:

  • includes/wp-user-consent.php в директорията admin-menu-editor-pro
  • Нова директория /wp-content/object-cache/
  • Потребител, започващ с wp_ в таблицата wp_users, който може да бъде скрит от таблото за управление на WordPress
  • Опции с имена като wp_ocache* в таблицата wp_options

Смята се, че версия 2.34 е чиста, а безплатната версия на Admin Menu Editor изглежда не е засегната.

Елстс отбелязва, че най-надеждната корекция е възстановяването на компрометирания сайт от безопасно архивно копие (backup), направено преди 14 септември. Ако това не е възможно, разработчикът препоръчва премахването на плъгина, директорията „/wp-content/object-cache/“ и горепосочените записи в базата данни.

Разработчикът на плъгина Admin Menu Editor за WordPress заяви, че инцидентът е бил ограничен до неговата инфраструктура, и се извини на засегнатите клиенти.