Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Spunta una backdoor in un plugin di WordPress con 300.000 installazioni

Dic 20, 2017 Marco Schiaffino Attacchi, Hacking, Malware, News, RSS 0

L’autore lo ha venduto a un’altra società e al primo aggiornamento gli utenti si sono trovati “bucati” da una backdoor.

Per evitare truffe e attacchi è buona norma installare soltanto software di cui si conosce l’origine e che proviene da fonti affidabili. Ma come fare quando un software “diventa” inaffidabile in corso d’opera?

A domandarselo, probabilmente, sono i 300.000 utenti WordPress che hanno installato il plugin Captcha, tra i più utilizzati per inserire il sistema di verifica anti-bot all’interno dei siti realizzati con WordPress.

L’autore del plugin originale è BestWebSoft, una società piuttosto conosciuta e affidabile, che ha pubblicato negli ultimi anni numerosi plugin e gode di una certa reputazione. Peccato che lo scorso 5 settembre BestWebSoft abbia venduto la sua versione gratuita di Captcha a un’altra azienda, chiamata Simply WordPress.

A 3 mesi dall’acquisto, il nuovo proprietario ha rilasciato una nuova versione del plugin, ma con una piccola sorpresa. All’interno di Captcha 4.3.7 c’era infatti una porzione di codice non propriamente ortodossa. IL suo compito era quello di contattare i server dell’azienda (aggirando così i controlli del repository di WordPress) e scaricare un aggiornamento che creava un nuovo utente e consentiva, in pratica, di accedere attraverso una backdoor.

Il pacchetto d’installazione veniva scaricato direttamente dai server del nuovo proprietario, aggirando in questo modo qualsiasi controllo sul market ufficiale.

Il trucchetto è stato scoperto quasi per caso. Captcha è stato infatti rimosso dal sito di WordPress a causa di una disputa sul diritto d’autore legata al fatto che Simply WordPress usasse come logo una parte del marchio WordPress. Nessuno, però, aveva ancora messo il naso nel codice del plugin.

A farlo sono stati i ricercatori di Wordfence, la società di sicurezza specializzata che tiene sotto controllo plugin e release del Content Manager System. Dalle parti di Wordfence hanno infatti una sorta di “routine” che prevede l’analisi di tutti i plugin rimossi.

L’idea è quella di verificare se la rimozione ha a che fare con problemi di sicurezza e, in questo caso, si è scoperto che i problemi c’erano davvero.

Ma c’è di più: le indagini dei ricercatori hanno permesso di appurare che dietro l’operazione c’è una vecchia conoscenza del settore. Si tratta di Mason Soiza, un individuo che sembra aver utilizzato questo schema più volte nella sua carriera: compra un plugin popolare, lo modifica inserendoci codice malevolo e sfrutta l’accesso ai siti compromessi per i suoi scopi.

Ora il team di WordPress ha rilasciato una versione del plugin (4.4.5) da cui è stata eliminata la backdoor. La nuova versione è stata distribuita attraverso gli aggiornamenti automatici e dovrebbe quindi aver raggiunto tutti gli utenti che utilizzano Captcha.

Condividi l'articolo