WordPress-Sicherheit Alarm die versteckte Backdoor der Quick Page / Post Redirect Plugin, die noch bedroht Tausende von Seiten

Ein Backdoor implantiert vor Jahren in der Quick Page / Post Redirect Plugin - installiert auf Zehntausenden von WordPress-Seiten - verwandelt ein scheinbar harmloses Dienstprogramm in ein Gateway für willkürliche Code-Injektion und SEO Spam Operationen. Forscher Austin Ginder, Gründer des Anchor-Hostings, entdeckte die Kampagne nach mehreren Warnungen auf seiner Plattform und dokumentierte, wie alte offizielle Versionen des Plugins einen versteckten Selbstaktual-Mechanismus enthielt, der einen externen Server konsultierte, der es ermöglichte, Code außerhalb der Kontrolle des offiziellen Repository zu ersetzen oder injizieren.

Die Bedrohung kombiniert zwei gefährliche Vektoren: ein "silent" Update von einem anderen Server als WordPress.org und eine Backdoor, die nur für getrennte Benutzer aktiviert wird, so dass es schwierig ist, von Administratoren zu erkennen. Laut der Analyse enthielten die Versionen 5.2.1 und 5.2.2 die schädliche Logik, die auf Anadnet [.] com deutete; im März 2021 wurde ein 5.2.3 Build von dieser Infrastruktur mit einer anderen Hash als die von der gleichen Version auf WordPress.org verwendet, und die einen gehackten Code zu den _ Inhalten zu injizieren Payloads orientiert SEO Spam.

Das reale Risiko ist nicht nur der sichtbare Spam: Der Remote-Selbstakt-Mechanismus erlaubt Ihnen, beliebigen Code auf Anfrage auszuführen. Obwohl heute die Kontrolle Subdomain nicht für alle Einrichtungen löst, dass "Tür" noch in den betroffenen Seiten vorhanden ist und wieder aktiviert werden kann, wenn der Schauspieler hinter der Domain sie wieder aktiviert oder die Infrastruktur die Hände wechselt. WordPress.org hat das Plugin vorübergehend aus dem Verzeichnis für die Überprüfung entfernt, aber während es Einrichtungen mit dem Update auf den externen Server zeigt, bleibt das Risiko.

Wenn Sie ein WordPress verwalten, ist die erste sofortige Maßnahme zu überprüfen, ob Sie Quick Page / Post Redirect installiert haben und welche Version läuft. Ist Ihre Installation in den kompromittierten Versionen (5.2.1 oder 5.2.2) oder einer Kopie, die von diesem externen Server aktualisiert werden konnte, deinstallieren Sie das Plugin und vertrauen Sie nicht früheren lokalen Kopien, ohne sie zu überprüfen. Ersetzen Sie es mit einer sauberen Version direkt von WordPress.org, wenn es veröffentlicht wird (es wurde auf 5.2.4 als Anordnung hingewiesen) ist die empfohlene Aktion, aber nicht die einzige: das Vorhandensein eines schädlichen Auto-Updates erfordert vollständige Reinigung und Überprüfung der Website-Integrität.

Neben der Deinstallation und Neuinstallation von einer verifizierten Quelle ist es wichtig, Site-Dateien auf der Suche nach Back-Türen zu überprüfen. Überprüfen Sie kürzlich geänderte Dateien, vergleichen Sie hashes mit dem offiziellen Repository, wenn möglich, suchen Sie nach ausgehenden Anrufen zu anadnet oder verwandten Subdomains im Code- und HTTP-Logs und entfernen Sie jede verdächtige Datei oder Crontab. Verändern Sie administrative Anmeldeinformationen, ändern Sie API-Schlüssel, die auf der Website gespeichert werden könnten und überprüfen administrative Benutzer, um unbefugte Konten zu erkennen.

Vertrauen Sie nicht nur dem Verschwinden von C2: es trifft defensive Maßnahmen auf Netzwerkebene und Hosting durch Blockierung von schädlichen Domänen und Subdomains (z.B. in der Server Firewall oder Hosts) und aktiviert eine WAF oder Sperrregeln in Ihrem Lieferanten. Führen Sie Scans mit spezialisierten WordPress-Tools und betrachten Sie Ihre Hosting für eine forensische Analyse, wenn Sie Anzeichen von Engagement erkennen. Um mit Scans und Reinigung zu beginnen, können Sie öffentliche Ressourcen von auf WordPress spezialisierten Sicherheitsanbietern wie Wordfence konsultieren http://www.wordfence.com/ o Berichte und Führer des Entdeckers selbst in Anchor https: //anker.host / the-plugin-autor-was-the-supply-chain-attacker /.

Dieser Vorfall zeigt eine große Lektion über die Plugin-Versorgungskette: Vertrauen in das offizielle Repository beseitigt nicht das Risiko versteckter Änderungen, wenn es einen Update-Mechanismus außerhalb des kontrollierten Ökosystems gibt. Plugin-Betreuer sollten vermeiden, dass jedes Self-uppater, das von nicht zertifizierten externen Servern und Überprüfung Teams abhängt, benötigen Werkzeuge und Prozesse, die Remote-Update-Erkennungen und Hash-Differenzen zwischen identischen Gebäuden erkennen.

Für fortgeschrittene Entwickler und Administratoren wird empfohlen, eine Integritätskontrollrichtlinie (Datei-Integritätsüberwachung) umzusetzen, gefährliche PHP-Funktionen zu blockieren, wenn sie nicht notwendig sind und Abhängigkeiten von Drittanbietern regelmäßig zu prüfen. Für Business Manager und Editoren ist der Vorschlag, Plugins zu priorisieren, die aktiv mit gutem Ruf gepflegt werden, Änderungsgeschichte überprüfen und in kritischen Umgebungen die Verwendung von internen Repositories oder Zahlungslösungen mit kommerziellen Garantien und technische Unterstützung bewerten.

Schwachstelle in Quick Page / Post Redirect ist eine Erinnerung, dass ein kleines Plugin kann ein großer Risiko Multiplikator werden. Es wirkt schnell: es identifiziert die betroffenen Einrichtungen, macht umfassende Reinigung oder Wiederherstellung von sauberen Kopien, blockiert die bösartige Infrastruktur und stärkt die Kontrollen, um einen ähnlichen Vorfall wieder zu verhindern. Für mehr Kontext, wie man mit Plugin-Verpflichtungen und Antwort-Maßnahmen, die offizielle WordPress-Plugin-Seite kann als Ausgangspunkt dienen: https: / / wordpress.org / Plugins /.