Des acteurs de la menace ont \u00e9t\u00e9 observ\u00e9s utilisant un plugin WordPress l\u00e9gitime mais obsol\u00e8te pour des sites Web de porte d\u00e9rob\u00e9e subrepticement dans le cadre d’une campagne en cours, Sucuri r\u00e9v\u00e9l\u00e9<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Le plugin en question est Eval PHP, publi\u00e9 par un d\u00e9veloppeur nomm\u00e9 flashpixx. Il permet aux utilisateurs d’ins\u00e9rer des pages de code PHP et des publications de sites WordPress qui sont ensuite ex\u00e9cut\u00e9es chaque fois que les publications sont ouvertes dans un navigateur Web.<\/p>\n Alors que \u00c9valuer PHP<\/a> n’a jamais re\u00e7u de mise \u00e0 jour depuis 11 ans, les statistiques recueillies par WordPress montrent qu’il est install\u00e9 sur plus de 8 000 sites Web, le nombre de t\u00e9l\u00e9chargements explosant d’un ou deux en moyenne depuis septembre 2022 \u00e0 6 988 le 30 mars 2023.<\/p>\n Rien que le 23 avril 2023, il a \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 2 140 fois. Le plugin a accumul\u00e9 23 110 t\u00e9l\u00e9chargements au cours des sept derniers jours.<\/p>\n Sucuri, propri\u00e9t\u00e9 de GoDaddy, a d\u00e9clar\u00e9 avoir observ\u00e9 des bases de donn\u00e9es de sites Web infect\u00e9s inject\u00e9es de code malveillant dans le tableau “wp_posts”<\/a>qui stocke les informations d’un site messages, pages et menu de navigation<\/a> information. Les requ\u00eates proviennent de trois adresses IP diff\u00e9rentes bas\u00e9es en Russie.<\/p>\n “Ce code est assez simple\u00a0: il utilise le fonction file_put_contents<\/a> pour cr\u00e9er un script PHP dans le docroot du site Web avec la porte d\u00e9rob\u00e9e d’ex\u00e9cution de code \u00e0 distance sp\u00e9cifi\u00e9e \u00bb, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Ben Martin.<\/p>\n “Bien que l’injection en question d\u00e9pose une porte d\u00e9rob\u00e9e conventionnelle dans la structure du fichier, la combinaison d’un plugin l\u00e9gitime et d’un compte-gouttes de porte d\u00e9rob\u00e9e dans un article WordPress leur permet de r\u00e9infecter facilement le site Web et de rester cach\u00e9. Tout ce que l’attaquant doit faire est de visiter l’un des messages ou pages infect\u00e9s et la porte d\u00e9rob\u00e9e sera inject\u00e9e dans la structure du fichier.”<\/p>\n Sucuri a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 plus de 6 000 instances de cette porte d\u00e9rob\u00e9e sur des sites Web compromis au cours des 6 derniers mois, d\u00e9crivant le mod\u00e8le d’insertion du logiciel malveillant directement dans la base de donn\u00e9es comme un “d\u00e9veloppement nouveau et int\u00e9ressant”.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n La cha\u00eene d’attaque implique l’installation du plugin Eval PHP sur des sites compromis et son utilisation abusive pour \u00e9tablir des portes d\u00e9rob\u00e9es persistantes sur plusieurs publications qui sont parfois \u00e9galement enregistr\u00e9es en tant que brouillons.<\/p>\n “La fa\u00e7on dont le plugin Eval PHP fonctionne, il suffit d’enregistrer une page en tant que brouillon afin d’ex\u00e9cuter le code PHP \u00e0 l’int\u00e9rieur du [evalphp] codes abr\u00e9g\u00e9s<\/a>“, a expliqu\u00e9 Martin, ajoutant que les pages malveillantes sont cr\u00e9\u00e9es avec un v\u00e9ritable administrateur de site comme auteur, sugg\u00e9rant que les attaquants ont pu se connecter avec succ\u00e8s en tant qu’utilisateur privil\u00e9gi\u00e9.<\/p>\n Le d\u00e9veloppement montre une fois de plus comment les acteurs malveillants exp\u00e9rimentent diff\u00e9rentes m\u00e9thodes pour maintenir leur pr\u00e9sence dans des environnements compromis et \u00e9chapper aux analyses c\u00f4t\u00e9 serveur et \u00e0 la surveillance de l’int\u00e9grit\u00e9 des fichiers.<\/p>\n Il est conseill\u00e9 aux propri\u00e9taires de sites de s\u00e9curiser le Tableau de bord d’administration WP<\/a> ainsi que surveillez toute connexion suspecte pour emp\u00eacher les acteurs de la menace d’obtenir un acc\u00e8s administrateur et d’installer le plug-in.<\/p>\n <\/p>\n![\"Plug-in](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682374848_70_Les-pirates-exploitent-un-plugin-WordPress-obsolete-pour-detourner-des.png\" "\\"Plug-in")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682374848_580_Les-pirates-exploitent-un-plugin-WordPress-obsolete-pour-detourner-des.png\")
<\/div>\n