Giu 25, 2024 Attacchi, In evidenza, News, RSS

Lo scorso lunedì il team Wordfence Threat Intelligence ha scoperto del codice malevolo in Social Warfare, un plugin che consente di condividere i contenuti di WordPress sui principali social. Dopo un’attenta analisi, i ricercatori hanno individuato altri quattro plugin che contenevano codice simile a quello presente in SocialWarfare.

Il malware analizzato tenta di creare un nuovo account di amministratore e inviare dettagli sul sito e sulle azioni degli utenti al server degli attaccanti. Oltre al codice della backdoor, gli attaccanti hanno anche iniettato del codice JavaScript malevolo nel footer dei siti web per aggiungere spam SEO su tutte le pagine.

I ricercatori affermano che il codice analizzato non è particolarmente sofisticato, né è stato offuscato con attenzione, e contiene commenti che ne illustrano il funzionamento. Il primo attacco risale al 21 giugno e gli attaccanti hanno continuato ad aggiornare il codice dei plugin fino a poche ore prima che venissero identificati.

I plugin di WordPress colpiti sono Social Warfare dalla versione 4.4.6.4 alla 4.4.7.1, Blaze Widget dalla 2.2.5 alla 2.5.2, Contact Form 7 Multi-Step Addon dalla 1.0.4 alla 1.0.5, Simply Show Hooks 1.2.1 e Wrapper Link Element dalla 1.0.2 alla 1.0.3. Sembra che qualcuno abbia rimosso il codice malevolo da quest’ultima estensione, ma dal momento che l’ultima versione indicata dal vendor è la 1.0.0, inferiore a quelle infette, è consigliabile rimuovere il plugin e aggiornarlo non appena sarà disponibile la patch.

I cinque plugin al momento non sono disponibili per il download: il team di sicurezza di WordPress ha disabilitato temporaneamente le estensioni in attesa di una review completa della problematica.

Il team di Wordfence invita gli utenti che hanno questi plugin installati a disabilitarli immediatamente e controllare gli account di amministratore presenti, cancellando tutti quelli non approvati. In aggiunta, è consigliabile eseguire una scansione completa del sito e rimuovere qualsiasi codice ed estensione malevoli. 

• backdoor, estensioni malevole, plugin, Social Warfare, Wordfence, WordPress