Бэкдоры обнаружены еще в трех популярных плагинах для WordPress

В последние недели проблемы экосистемы плагинов для WordPress удостоились пристального внимание экспертов. Так, еще три года назад бэкдоры были обнаружены в составе 14 плагинов для популярной CMS, которые после этого были удалены из официального репозитория. Но недавнее исследование показало, что сотни сайтов по-прежнему работают с этими опасными решениями.

Чуть раньше в WordPress Plugins Directory был обнаружен более свежий плагин Captcha, тоже содержавший бэкдор. Captcha был установлен на 300 000 сайтов. В итоге разработчики WordPress пошли на беспрецедентные меры и принудительно обновили вредоносную версию плагина на «чистую».

Теперь аналитики компании Wordfence сообщили, что аналогичной проблеме подвержены еще три плагина.

Ситуация с вышеперечисленными плагинами похожа на предыдущие случаи. Так, все плагины обращаются к удаленным серверам злоумышленников, а также внедряют на страницы зараженных сайтов различный контент и SEO-ссылки.

Исследователи Wordfence полагают, что, скорее всего, заражение всех трех плагинов — дело рук одного и того же злоумышленника. К такому выводу специалисты пришли во время изучения угрозы и проведения тщательного расследования. Так, в двух из трех случаев бэкдоры обращаются к доменам, которые расположены на одном IP-адресе. Два плагина из трех у разработчиков выкупила одна и та же компания, Orb Online. В обоих случаях письма с предложением покупки были написаны по одному и тому же шаблону. И самое главное – во всех трех случаях код бэкдоров практически одинаков.

Аналитики с грустью отмечают, что сейчас мы наблюдаем уже сложившуюся тенденцию или хорошо отработанную мошенническую схема. Некая компания выкупает плагин у его разработчика, выжидает некоторое время, а затем выпускает вредоносное обновление, которое в итоге заражает множество сайтов. Более того, зачастую преступники действуют весьма масштабно.

К примеру, недавнее заражение плагина Captcha бэкдором удалось связать с конкретным человеком. ИБ-эксперты выяснили, что за вредоносной кампанией стоял человек, которого ранее уже уличали в распространении бэкдоров через плагины. По мнению аналитиков, это Мейсон Сойза (Mason Soiza), который ранее был пойман на внедрении вредоносного кода в плагин Display Widgets. Напомню, что данный «продукт» и вовсе удаляли из официального репозитория четыре раза.

Источник