В плагине для WordPress, установленном на 70 000 сайтов, пять лет скрывался бэкдор

В плагине для WordPress, установленном на 70 000 сайтов, пять лет скрывался бэкдор. Фото: СС0

Выяснилось, что в версиях 5.2.1 и 5.2.2, выпущенных в 2020–2021 годах, присутствовал скрытый механизм самообновления, указывающий на сторонний домен anadnet[.]com, что позволяло распространять произвольный код в обход WordPress.org.

В феврале 2021 года этот вредоносный модуль удалили из последующих версий в официальном каталоге, но в марте 2021 года сайты с уязвимыми версиями незаметно получили с внешнего сервера изменённую сборку 5.2.3, которая уже содержала пассивный бэкдор.

Этот бэкдор активировался только для неавторизованных пользователей, чтобы не привлекать внимание администраторов, и использовался для SEO-спама — он сдавал в аренду позиции в Google на 70 тыс. сайтов.

По словам Гиндера, настоящая опасность заключается в самом механизме обновления, который позволяет выполнять произвольный код по запросу и до сих пор присутствует на сайтах с плагином, хотя временно находится в спящем режиме, поскольку вредоносный поддомен управления не разрешается — однако сам домен anadnet[.]com остаётся активным.

WordPress.org временно удалил плагин из каталога, а пострадавшим пользователям рекомендовано удалить его и заменить чистой копией версии 5.2.4, как только она снова станет доступна.

Гиндер также призвал опубликовать статический манифест обновления, который заставит все затронутые установки автоматически обновиться до безопасной версии, фактически удалив бэкдор с ранее скомпрометированных сайтов.