Хакери могат да злоупотребят с активни администраторски сесии в WordPress за тайно инсталиране на PHP задни врати

Администраторите на WordPress често държат таблото си за управление отворено в същия браузър, който използват за ежедневно сърфиране. Нова верига от атаки показва защо този навик е рискован.

Изследователи са документирали JavaScript зареждащ модул (loader), който изчаква вписан администратор да посети компрометирана страница, след което използва доверената сесия на този браузър, за да инсталира скрита PHP задна врата (backdoor) в уебсайта.

Атакуващият никога не се нуждае от администраторската парола, тъй като собственият браузър на администратора извършва действието. Неотдавнашни случаи сочат към същия модел.

Един пример е кампания със зловреден софтуер за WordPress, задействана от администратор, която изложи над 1,2 милиона уебсайта на потенциално компрометиране.

Зловредният софтуер, който се активира само по време на активни сесии на вписани потребители, е труден за засичане при рутинни сканирания, което го прави нарастващ повод за безпокойство за собствениците на сайтове.

Изследователите по сигурността от Securonix Threat Research, Акшай Гайквад и Аарон Биърдсли, идентифицираха зловредния софтуер и нарекоха веригата TRUST#GRAFT.

Техният анализ показва, че JavaScript кодът не преодолява входа в WordPress. Вместо това той проверява дали посетителят вече е вписан като администратор, след което използва повторно тази сесия, за да добави нов код към сайта. Securonix също така отбелязва, че не е потвърдено как първоначалният скрипт е достигнал до компрометираната страница.

Хакери могат да злоупотребят с активни администраторски сесии в WordPress

Инфекцията започва с фалшива проверка за сигурност. Скриптът поставя рамка на цял екран върху страницата, която изглежда като екран за проверка на Cloudflare „Just a moment“.

Докато посетителят чака, скриптът събира подробности като размер на екрана, графични данни, часова зона и брой инсталирани плъгини. Той също така проверява за признаци на автоматизирани инструменти за анализ.

След решаване на малък пъзел браузърът изпраща тези данни към команден сървър, който решава дали да изпрати следващия етап. Следва ключовата стъпка.

Скриптът изисква страницата за качване на плъгини в WordPress, използвайки съществуващите бисквитки за вход на браузъра, след което прочита маркер за сигурност на WordPress, наречен nonce, от тази страница.

Той изтегля ZIP файл с име wm.zip от помощен междинен сървър (staging server) и го качва през стандартната крайна точка за инсталиране на плъгини.

Ако качването е успешно, скриптът отваря страницата с плъгини и активира новия плъгин. WordPress приема всяка заявка, тъй като браузърът вече е вписан с права за управление на плъгини.

Securonix подчертава, че това не е самостоятелно заобикаляне на автентикацията за вход. Акаунтът вече трябва да бъде администраторски с разрешение за инсталиране на плъгини.

Въпреки това рискът е сериозен за всеки, който разглежда публични уебсайтове, докато е вписан в wp-admin, или който използва един браузърен профил както за ежедневно сърфиране, така и за управление на сайта.

Постоянна PHP задна врата се крие в задължителните плъгини (Must-Use Plugins)

ZIP файлът съдържа PHP плъгин с име Web Media Optimizer, версия 2.1. Името подсказва за безобиден инструмент за изображения или медийно съдържание, но Securonix го описва като задна врата.

Той инжектира отдалечен JavaScript код в публичните страници, изключва проверките на TLS сертификатите, когато извлича своя управляващ скрипт, и може да зададе администраторска бисквитка за вход за първия администраторски акаунт чрез твърдо кодиран маркер.

Плъгинът също така защитава собственото си присъствие. При активиране той копира себе си в wp-content/mu-plugins/wmedia-recovery.php.

WordPress зарежда автоматично всеки файл в тази папка и тези файлове не се показват на обичайната страница за плъгини. Подобен скрит зловреден софтуер от тип „must-use plugin“ е бил докладван и преди, като това показва защо премахването само на видимия плъгин не е достатъчно.

Собствениците на сайтове трябва също така да подходят сериозно към почистването. Премахването на видимия плъгин, копието в mu-plugins и всякакъв останал източник на отдалечен скрипт е необходимо, за да се спре повторната инфекция.

Администраторите трябва да прегледат и последните случаи на самовъзстановяващ се зловреден софтуер със задна врата за WordPress, които показват как изтритите файлове могат да се завърнат.

Securonix препоръчва използването на отделен профил на браузъра за wp-admin, излизане от профила след подозрителна активност, редовна смяна на идентификационните данни на администратора, ограничаване на правата за качване на плъгини и наблюдение за нови PHP файлове в mu-plugins.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено дефанирани (напр. [.]), за да се предотврати случайното им разрешаване или превръщане в хипервръзки. Връщайте оригиналния вид само в контролирани платформи за обмен на информация за заплахи, като MISP, VirusTotal или вашия SIEM.