WordPress-разработчик и основатель хостинг-сервиса WP Anchor Остин Гиндер рассказал об обнаружении масштабной атаки по распространению вредоносного кода. Под ударом оказались некоторые клиенты данного хостинга.

Гиндер начал расследование после того, как клиент хостинга получил оповещение от команды разработчиков плагинов с wordpress.org. Там было сказано, что плагин Countdown Timer Ultimate содержит вредоносный код и бэкдор. Их могут использовать третьи лица для получения несанкционированного доступа к сайту, где этот плагин установлен.

Изображение: Grok

Плагин входит в состав более крупной серии от индийской компании Essential Plugin. Недавно её приобрела неизвестная сторона из мира криптовалюты и азартных игр. В эти плагины после приобретения новый владелец добавил вредоносный код.

Его обнаружили 8 месяцев назад, но первый случай внедрения вредоносного ПО случился 6 апреля. Код находится в большом блоке PHP в файле wp-config.php, который является одним из центральных конфигурационных файлов на WordPress. Код был создан для получения спам-ссылок, запуска перенаправления URL и генерации поддельных страниц. К настоящему моменту представители wordpress.org удалили все 30 плагинов.

Гиндер сообщает, что это второй случай захвата популярных плагинов для WordPress злоумышленниками. Первый такой эпизод случился в 2017 году и затронул плагин с 200 тысячами установок. На этот раз масштаб поражения значительно больше.