Hackerii pot exploata sesiunile de administrator WordPress

Administratorii WordPress își țin adesea panoul de control deschis în același browser pe care îl folosesc pentru navigarea de zi cu zi. Un nou lanț de atac arată de ce acest obicei este riscant.

Specialiștii au documentat un loader JavaScript care așteaptă ca un administrator autentificat să acceseze o pagină compromisă, apoi folosește sesiunea de încredere a acelui browser pentru a instala un backdoor PHP pe site.

Atacatorul nu are nevoie niciodată de parola de administrator, deoarece browserul administratorului însuși face toată treaba. Cazurile recente indică același tipar.

Un exemplu în acest sens este o campanie de malware WordPress declanșată de administratori, care a expus peste 1,2 milioane de site-uri web la riscul de compromitere.

Malware-ul care se activează doar în timpul sesiunilor de conectare este greu de detectat în cadrul scanărilor de rutină, ceea ce îl transformă într-o preocupare tot mai mare pentru administratorii de site-uri.

Analiza specialiștilor arată că scriptul JavaScript nu afectează procesul de autentificare în WordPress. În schimb, acesta verifică dacă utilizatorul este deja autentificat ca administrator, apoi reutilizează acea sesiune pentru a adăuga cod nou pe site.

Infectarea începe cu o verificare falsă de securitate. Scriptul afișează peste pagină un cadru pe întregul ecran care seamănă cu interfața de verificare Just a moment a Cloudflare.

În timp ce utilizatorul așteaptă, scriptul colectează detalii precum dimensiunea ecranului, date grafice, fusul orar și numărul de pluginuri instalate. De asemenea, verifică dacă există instrumente de analiză automată.

După rezolvarea unui mic puzzle, browserul trimite aceste date către un server de control, care decide dacă va iniția etapa următoare.

Scriptul accesează pagina de încărcare a pluginurilor WordPress folosind cookie-urile de autentificare existente în browser, apoi citește de pe acea pagină un token de securitate WordPress, numit nonce.

Descărcă un fișier ZIP numit wm.zip de pe un server intermediar și îl încarcă prin intermediul endpoint-ului standard de instalare a pluginului.

Dacă încărcarea se realizează cu succes, scriptul deschide pagina de pluginuri și activează noul plugin. WordPress acceptă fiecare solicitare deoarece browserul este deja autentificat cu drepturi de administrator pentru pluginuri.

Specialiștii subliniază că aceasta nu este o metodă independentă de ocolire a autentificării. Contul trebuie să fie deja unul de administrator, cu permisiunea de a instala pluginuri.

Fișierul ZIP conține un plugin PHP numit Web Media Optimizer, versiunea 2.1. Denumirea sugerează un instrument media sau de gestionare a imaginilor inofensiv, dar specialiștii îl descriu ca fiind un backdoor.

Acesta injectează cod JavaScript de la distanță în paginile publice, dezactivează verificările certificatelor TLS atunci când preia scriptul de control și poate seta un cookie de autentificare pentru primul cont de administrator prin intermediul unui token codificat fix.

Pluginul își protejează, de asemenea, propria prezență. La activare, se copiază în wp-content/mu-plugins/wmedia-recovery.php.

WordPress încarcă automat fiecare fișier din acel dosar, iar aceste fișiere nu apar pe pagina obișnuită a pluginurilor. Au mai fost semnalate și în trecut cazuri similare de malware ascuns sub forma unor pluginuri must-use, ceea ce demonstrează de ce nu este suficientă doar eliminarea pluginului vizibil.

Proprietarii site-urilor ar trebui, de asemenea, să ia în serios procesul de verificare. Eliminarea pluginului vizibil, a copiei din mu-plugins și a oricăror rămășițe ale scriptului sursă de la distanță este necesară pentru a preveni reinfecția.

Administratorii ar trebui, de asemenea, să analizeze cazurile recente de malware de tip backdoor cu auto-restaurare din WordPress, care arată cum fișierele șterse pot reapărea.

Specialiștii recomandă utilizarea unui profil separat de browser pentru wp-admin, deconectarea după activități suspecte, rotirea datelor de autentificare ale administratorilor, limitarea drepturilor de încărcare a pluginurilor și monitorizarea apariției de fișiere PHP noi în mu-plugins.

Sursă: https://cybersecuritynews.com/logged-in-wordpress-admin-sessions/