Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Vuoi un plugin di sicurezza per WordPress? Invece è una backdoor

Set 29, 2017 Marco Schiaffino Attacchi, Attacco non convenzionale, Malware, Minacce, News, RSS 0

X-WP-SPAM-SHIELD-PRO si propone come un plugin anti-spam, ma al suo interno ci sono degli elementi PHP che compromettono il sito.

Il plugin si chiama X-WP-SPAM-SHIELD-PRO e, almeno in teoria, dovrebbe essere uno strumento per la sicurezza dei siti realizzati con WordPress, il più diffuso Content Management System (CMS) open source. Peccato che sia invece infarcito di strumenti che permettono al suo autore di compromettere il sito su cui viene installato.

Secondo i ricercatori di Sucuri, che lo hanno individuato e analizzato a fondo, il suo autore ha scelto il nome nel tentativo di sfruttare la popolarità di un plugin piuttosto conosciuto chiamato WP-SpamShield Anti-Spam.

Il “clone”, però, ha caratteristiche ben diverse e (per fortuna) non ha mai fatto la sua comparsa sul sito ufficiale di WordPress. È stato invece distribuito attraverso canali “alternativi”.

Al suo interno ci sono diversi elementi, nessuno dei quali fa in realtà ciò per cui sembrerebbe essere stato realizzato, a partire dal componente principale wp-spam-shield-pro.php, che include una funzione di ping il cui unico scopo è quello di far sapere all’autore che il plugin è stato installato.

A prima vista sembra tutto regolare, ma il comportamento del plugin è decisamente diverso da quello che ci si potrebbe aspettare.

Come spiegano i ricercatori di Sucuri, le cose vanno peggio quando si va ad analizzare i file contenuti nella cartella INCLUDES. Per capirlo basta dare un’occhiata a class-social-facebook.php, che a dispetto del nome non ha nulla a che fare con Facebook o altri social network.

Non è proprio il codice che ci si aspetterebbe di trovare all’interno di un file dedicato alla funzione anti-spam per i social network…

La sua funzione, infatti, è quella di trasmettere al pirata informatico un elenco di tutti i plugin installati, in modo che questi possa avere una “radiografia” del sito su cui ha messo le mani. Non solo: i plugin vengono disattivati, bloccando di fatto il sito.

Per quanto riguarda class-term-metabox-formatter.php e class-admin-user-profile.php, la loro funzione è molto semplice: il primo comunica la versione di WordPress installata, mentre il secondo copia l’elenco degli amministratori registrati. L’attacco si completa con plugin-header.php, che crea un nuovo amministratore con nome utente mw01main.

Insomma: quando il plugin viene installato, il cyber-criminale acquisisce il completo controllo del sito in questione e può contare anche su un sistema di update che gli permette di caricare qualsiasi file sul sito.

Il caso di X-WP-SPAM-SHIELD-PRO, in definitiva, è un perfetto monito per chi usa WordPress. La lezione è semplice: se avete bisogno di un plugin, rivolgetevi allo store ufficiale. I canali alternativi, in qualche caso, rischiano di essere davvero pericolosi.

Condividi l'articolo