Se ha observado a los actores de amenazas aprovechando un complemento de WordPress leg\u00edtimo pero desactualizado para subrepticiamente sitios web de puerta trasera como parte de una campa\u00f1a en curso, Sucuri revel\u00f3<\/a> en un informe publicado la semana pasada.<\/p>\n El complemento en cuesti\u00f3n es Eval PHP, lanzado por un desarrollador llamado flashpixx. Permite a los usuarios insertar p\u00e1ginas de c\u00f3digo PHP y publicaciones de sitios de WordPress que luego se ejecutan cada vez que se abren las publicaciones en un navegador web.<\/p>\n Mientras Evaluar PHP<\/a> nunca ha recibido una actualizaci\u00f3n en 11 a\u00f1os, las estad\u00edsticas recopiladas por WordPress muestran que est\u00e1 instalado en m\u00e1s de 8,000 sitios web, y la cantidad de descargas se dispar\u00f3 de una o dos en promedio desde septiembre de 2022 a 6,988 el 30 de marzo de 2023.<\/p>\n Solo el 23 de abril de 2023, se descarg\u00f3 2.140 veces. El complemento ha acumulado 23.110 descargas en los \u00faltimos siete d\u00edas.<\/p>\n Sucuri, propiedad de GoDaddy, dijo que observ\u00f3 las bases de datos de algunos sitios web infectados inyectados con c\u00f3digo malicioso en el tabla “wp_posts”<\/a>que almacena un sitio publicaciones, p\u00e1ginas y men\u00fa de navegaci\u00f3n<\/a> informaci\u00f3n. Las solicitudes se originan en tres direcciones IP diferentes con sede en Rusia.<\/p>\n “Este c\u00f3digo es bastante simple: utiliza el funci\u00f3n file_put_contents<\/a> para crear un script PHP en el docroot del sitio web con la puerta trasera de ejecuci\u00f3n remota de c\u00f3digo especificada”, dijo el investigador de seguridad Ben Martin.<\/p>\n “Aunque la inyecci\u00f3n en cuesti\u00f3n deja caer una puerta trasera convencional en la estructura del archivo, la combinaci\u00f3n de un complemento leg\u00edtimo y un cuentagotas de puerta trasera en una publicaci\u00f3n de WordPress les permite volver a infectar f\u00e1cilmente el sitio web y permanecer oculto. Todo lo que el atacante debe hacer es visitar una de las publicaciones o p\u00e1ginas infectadas y la puerta trasera se inyectar\u00e1n en la estructura del archivo”.<\/p>\n Sucuri dijo que detect\u00f3 m\u00e1s de 6000 instancias de esta puerta trasera en sitios web comprometidos en los \u00faltimos 6 meses, y describi\u00f3 el patr\u00f3n de insertar el malware directamente en la base de datos como un “desarrollo nuevo e interesante”.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n La cadena de ataque implica la instalaci\u00f3n del complemento Eval PHP en sitios comprometidos y su uso indebido para establecer puertas traseras persistentes en m\u00faltiples publicaciones que a veces tambi\u00e9n se guardan como borradores.<\/p>\n “La forma en que funciona el complemento Eval PHP es suficiente para guardar una p\u00e1gina como borrador para ejecutar el c\u00f3digo PHP dentro del [evalphp] c\u00f3digos cortos<\/a>“, explic\u00f3 Martin, y agreg\u00f3 que las p\u00e1ginas no autorizadas se crean con un administrador de sitio real como autor, lo que sugiere que los atacantes pudieron iniciar sesi\u00f3n con \u00e9xito como un usuario privilegiado.<\/p>\n Una vez m\u00e1s, el desarrollo se\u00f1ala c\u00f3mo los actores maliciosos est\u00e1n experimentando con diferentes m\u00e9todos para mantener su punto de apoyo en entornos comprometidos y evadir los escaneos del lado del servidor y el monitoreo de la integridad de los archivos.<\/p>\n Se recomienda a los propietarios del sitio que aseguren la Panel de administraci\u00f3n de WP<\/a> as\u00ed como estar atento a cualquier inicio de sesi\u00f3n sospechoso para evitar que los actores de amenazas obtengan acceso de administrador e instalen el complemento.<\/p>\n <\/p>\n![\"Complemento](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1682367807_131_Los-piratas-informaticos-explotan-el-complemento-obsoleto-de-WordPress-para.png\" "\\"Complemento")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1682367808_331_Los-piratas-informaticos-explotan-el-complemento-obsoleto-de-WordPress-para.png\")
<\/div>\n