Un actor de amenazas modificó el código fuente de al menos cinco complementos alojados en WordPress.org, incorporando scripts PHP maliciosos que permiten la creación de nuevas cuentas con privilegios administrativos en los sitios web que los ejecutan.
El ataque fue descubierto por el equipo de Wordfence Threat Intelligence ayer. Sin embargo, las inyecciones maliciosas parecen haber ocurrido hacia el final de la semana pasada, entre el 21 y el 22 de junio.
Tan pronto como Wordfence descubrió la infracción, la compañía notificó a los desarrolladores de los complementos. Como resultado, ayer se lanzaron parches para la mayoría de los productos afectados.
Juntos, los cinco complementos se han instalado en más de 35.000 sitios web:
- Social Warfare (versión 4.4.6.4 a 4.4.7.1, corregido en versión 4.4.7.3)
- Blaze Widget (versión 2.2.5 a 2.5.2, corregido en versión 2.5.4)
- Wrapper Link Element (versión 1.0.2 a 1.0.3, corregido en versión 1.0.5)
- Contact Form 7 Multi-Step Addon (versión 1.0.4 a 1.0.5, corregido en versión 1.0.7)
- Simply Show Hooks (versión 1.2.1 a 1.2.2, aún no hay solución disponible)
Operación de puerta trasera y IoC
El código malicioso de los complementos infectados intenta crear nuevas cuentas de administrador e inyectar spam de SEO en el sitio web comprometido.
«En esta etapa, sabemos que el malware inyectado intenta crear una nueva cuenta de usuario administrativo y luego envía esos detalles al servidor controlado por el atacante», explica Wordfence. «Además, parece que el actor de amenazas también inyectó JavaScript malicioso en el pie de página de los sitios web, lo que parece agregar spam de SEO en todo el sitio web».
Los datos se transmiten a la dirección IP 94.156.79[.]8, mientras que las cuentas de administrador creadas arbitrariamente se denominan «Options» y «PluginAuth», dicen los investigadores.
Los propietarios de sitios web que detecten dichas cuentas o tráfico a la dirección IP del atacante deben realizar un análisis y limpieza completos de malware.
Wordfence señala que algunos de los complementos afectados fueron eliminados temporalmente de la lista de WordPress.org, lo que puede provocar que los usuarios reciban advertencias incluso si usan una versión parcheada.