Das leise Eindringen von CDN in WordPress, das zuverlässige Skripte in Hintertüren verwandelt

Ein neuer Angriff konvertierte JavaScript-Skripte, die viele WordPress-Einrichtungen als vertrauenswürdig in einer Hintertür betrachten: durch das Laden, während ein Administrator authentifiziert wurde, verwendet der bösartige Code diese Sitzung, um ein Konto mit Privilegien zu erstellen und ein verstecktes Plugin, das persistent Remote-Zugriff angeboten. Die Grundanweisung ist klar: Wenn Ihre Website PushEngage, OptinMonster oder TrustPulse an den betroffenen Daten ausgeführt hat, müssen Sie davon ausgehen, dass sie kompromittiert wurde, bis eine forensische Überprüfung auf dem Server etwas anderes beweist.

Was diesen Vorfall besonders gefährlich macht, ist nicht die neue Technik und sein Vektor: legitime Dateien, die von CDN bedient wurden, wurden geändert, so dass der Einstiegspunkt für viele Besitzer unsichtbar ist. Die Nutzlast wirkt nicht auf normale Besuche; sie schießt nur, wenn ein Administrator eingeloggt ist, so die Bewertung von der WordPress-Platte kann nichts zeigen. Die praktische Folge ist, dass die einzige zuverlässige Möglichkeit, die Störung zu erkennen, ist, das Dateisystem und die Datensätze auf dem Server zu überprüfen, nicht auf die Management-Schnittstelle zu verlassen.

Öffentliche Beweise, die von Sicherheitsforschern verbreitet und von mindestens einem der Lieferanten bestätigt werden, weisen verschiedene Anzeigefenster auf: OptinMonster und TrustPulse hatten in der Nacht vom 12. Juni ein sehr kurzes Fenster, während PushEngage für mehr Stunden und in einigen CDN sogar Tage verübte Dateien zeigte. Der potenzielle Umfang ist groß: Diese Produkte betragen mehr als eine Million Standorte, die zusammen installiert sind, obwohl diese Zahl Spielraum und nicht unbedingt effektive Verpflichtungen darstellt.

Der von den Angreifern verwendete Mechanismus kombinierte zwei Elemente: die Modifikation der von CDN gelieferten Skripte und, einmal ausgeführt mit der Admin-Session, die Installation einer Backdoor, die nicht auf der Plugin-Liste erscheint. Diese Komponente verhält sich wie eine Web-Shell, so dass Sie Befehle ausführen und Dateien auf dem Server lesen oder schreiben, zusätzliche Türen installieren, Datenbanken extrahieren oder Code injizieren, um Kartendaten zu stehlen. Löschen Sie das sichtbare Plugin oder neu erstellte Administrator-Konto ohne einen tiefen Sweep des Servers nicht die Wahrscheinlichkeit der Persistenz.

Die Zuschreibung der ursprünglichen Herkunft ist noch nicht vollständig aufgelöst: eine Erklärung von PushEngage Links Zugriff auf einen engagierten Marketing-Server durch eine Sicherheitslücke in einem anderen Plugin (UpdatraftPlus), die erlaubt hätte, CDN-Schlüssel zu stehlen. Externe Forscher weisen darauf hin, dass der Einbruchpunkt nicht vollständig geklärt ist und dass es mehrere Routen geben kann. Das Wesentliche ist, die Ursache als offen zu behandeln und Audit-Berechtigungen, Schlüssel und Konten im Zusammenhang mit jeder NCD oder Drittinfrastruktur.

Empfohlene sofortige Aktionen: Trennen oder Modus-Wartung jeder verdächtigen Website, Scannen vom Server (nicht vom Browser), und Suche nach bestimmten Disk-Indikatoren, die von Analysten gemeldet wurden: Plugin-Ordner mit irreführenden Namen, nicht erkannte Verwaltungskonten (z.B. Namen, die mit dev _ ap.1) beginnen und ausgehende Kommunikationssignaturen zu falschen Domänen, die von Angreifern erstellt wurden. Überprüfen Sie die kritischen Perioden-Webprotokolle für ausgehende Anrufe auf verdächtige Domains und die bekannte IP mit dem Angriff verbunden, und rollen Sie sofort alle Anmeldeinformationen, API-Tasten, Administrator-Passwörter und geheime wp-config.ph. Schlüssel

Wenn Sie Zugriffszeichen finden, muss die Antwort umfassend sein: Stoppen Sie die Website, machen Sie eine forensische Kopie der Dateien und Datenbank, suchen Sie nach Web-Shells und alle Remote-Laufspuren, wiederherstellen von einer Pre-Intrusion Backup, die als sauber und redo alle Anmeldeinformationen überprüft wird. In regulatorischen Compliance-Umgebungen oder in Fällen, in denen Kundendaten möglicherweise gefiltert worden sind, beachten Sie die Benachrichtigung an die betroffenen Behörden und Nutzer und vertragsprofessionelle Reaktion, wenn Sie nicht die interne Erfahrung haben.

Gleichzeitig überprüfen und anwenden Sie Patches in anderen Ökosystemkomponenten: aktualisieren Sie alle anfälligen Plugins wie UppdraftPlus, wenn Sie es verwenden, bestätigen Sie die Sicherheit Ihres CDN-Anbieters und bitten Sie um Erläuterungen zu den betroffenen Plugin-Entwicklern. Für den öffentlichen technischen Kontext und die Einzelheiten wurden die ersten Analysen von der Sansec-Firma veröffentlicht und PushEngage hat eine eigene Mitteilung veröffentlicht; es ist nützlich, sie direkt für zusätzliche Minderungsinformationen und aktualisierte Fristen zu konsultieren. Siehe den Bericht des Untersuchungsunternehmens bei https: / / sansec.io / und die offizielle Mitteilung der betreffenden Dienstleistung http://www.pushengage.com/.

Denken Sie daran, dass diese Art von Vorfall eine Erinnerung an die Fragilität von digitalen Lieferketten ist: Skripte, die als "zuverlässige Dritte" gelten, können Zugriffsvektoren werden, wenn die Lieferinfrastruktur beeinträchtigt wird. Stärkung der Verwaltungskontrollen von Drittanbietern, Minimierung der täglichen administrativen Privilegien (verwenden Sie separate Konten für Remote-Administration) und Erstellung von Servererkennungsprozessen, die nicht ausschließlich von den Verwaltungspanelen abhängen. Öffentliche Ressourcen zur Härtung und Intrusionserkennung in WordPress und CDN finden Sie auf Sicherheits-Seiten und in den Bulletins der Lieferanten selbst wie Wordfence und Plugin-Hersteller; zu beginnen, siehe http://www.wordfence.com/ und die Dokumentation Ihres Backup-Providers als https: / / updatraftplus.com /.