Se ha observado a los actores de amenazas aprovechando un complemento de WordPress legítimo pero desactualizado para subrepticiamente sitios web de puerta trasera como parte de una campaña en curso, Sucuri reveló en un informe publicado la semana pasada.
El complemento en cuestión es Eval PHP, lanzado por un desarrollador llamado flashpixx. Permite a los usuarios insertar páginas de código PHP y publicaciones de sitios de WordPress que luego se ejecutan cada vez que se abren las publicaciones en un navegador web.
Mientras Evaluar PHP nunca ha recibido una actualización en 11 años, las estadísticas recopiladas por WordPress muestran que está instalado en más de 8,000 sitios web, y la cantidad de descargas se disparó de una o dos en promedio desde septiembre de 2022 a 6,988 el 30 de marzo de 2023.
Solo el 23 de abril de 2023, se descargó 2.140 veces. El complemento ha acumulado 23.110 descargas en los últimos siete días.
Sucuri, propiedad de GoDaddy, dijo que observó las bases de datos de algunos sitios web infectados inyectados con código malicioso en el tabla “wp_posts”que almacena un sitio publicaciones, páginas y menú de navegación información. Las solicitudes se originan en tres direcciones IP diferentes con sede en Rusia.
“Este código es bastante simple: utiliza el función file_put_contents para crear un script PHP en el docroot del sitio web con la puerta trasera de ejecución remota de código especificada”, dijo el investigador de seguridad Ben Martin.
“Aunque la inyección en cuestión deja caer una puerta trasera convencional en la estructura del archivo, la combinación de un complemento legítimo y un cuentagotas de puerta trasera en una publicación de WordPress les permite volver a infectar fácilmente el sitio web y permanecer oculto. Todo lo que el atacante debe hacer es visitar una de las publicaciones o páginas infectadas y la puerta trasera se inyectarán en la estructura del archivo”.
Sucuri dijo que detectó más de 6000 instancias de esta puerta trasera en sitios web comprometidos en los últimos 6 meses, y describió el patrón de insertar el malware directamente en la base de datos como un “desarrollo nuevo e interesante”.
Zero Trust + Deception: ¡Aprende a ser más astuto que los atacantes!
Descubra cómo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. ¡Únase a nuestro seminario web perspicaz!
La cadena de ataque implica la instalación del complemento Eval PHP en sitios comprometidos y su uso indebido para establecer puertas traseras persistentes en múltiples publicaciones que a veces también se guardan como borradores.
“La forma en que funciona el complemento Eval PHP es suficiente para guardar una página como borrador para ejecutar el código PHP dentro del [evalphp] códigos cortos“, explicó Martin, y agregó que las páginas no autorizadas se crean con un administrador de sitio real como autor, lo que sugiere que los atacantes pudieron iniciar sesión con éxito como un usuario privilegiado.
Una vez más, el desarrollo señala cómo los actores maliciosos están experimentando con diferentes métodos para mantener su punto de apoyo en entornos comprometidos y evadir los escaneos del lado del servidor y el monitoreo de la integridad de los archivos.
Se recomienda a los propietarios del sitio que aseguren la Panel de administración de WP así como estar atento a cualquier inicio de sesión sospechoso para evitar que los actores de amenazas obtengan acceso de administrador e instalen el complemento.
About the Author
