El plugin Quick Page/Post Redirect, instalado en más de 70,000 sitios WordPress, tenía una puerta trasera añadida hace cinco años que permite inyectar código arbitrario en los sitios de los usuarios.
El malware fue descubierto por Austin Ginder, fundador del proveedor de alojamiento WordPress Anchor, quien lo encontró después de que 12 sitios infectados en su flota activaran una alerta de seguridad.
Quick Page/Post Redirect, disponible en WordPress.org durante varios años, es un plugin de utilidad básica utilizado para crear redirecciones en entradas, páginas y URL personalizadas.
WordPress.org ha retirado temporalmente el plugin del directorio mientras se realiza una revisión. No está claro si el autor del plugin introdujo la puerta trasera o si fue comprometido por un tercero.
Ginder explica que las versiones oficiales 5.2.1 y 5.2.2 del plugin, lanzadas entre 2020 y 2021, incluían un mecanismo oculto de autoactualización que apuntaba a un dominio de terceros, anadnet[.]com, lo que permitía enviar código arbitrario fuera del control de WordPress.org.
En febrero de 2021, el autoactualizador malicioso fue eliminado de las versiones posteriores del plugin en WordPress.org, antes de que los revisores de código pudieran examinarlo.
En marzo de 2021, según Ginder, los sitios que ejecutaban Quick Page/Post Redirect 5.2.1 y 5.2.2 recibieron silenciosamente una compilación manipulada 5.2.3 desde ese servidor externo, que introdujo una puerta trasera pasiva.
Sin embargo, la compilación del servidor 'w.anadnet[.]com' con el código adicional de la puerta trasera tenía un hash diferente al de la misma versión del plugin obtenida de WordPress.org.
La puerta trasera pasiva solo se activa para usuarios que no han iniciado sesión, ocultando su actividad a los administradores. Se engancha en 'the_content' y obtiene datos del servidor 'anadnet', probablemente utilizado para operaciones de spam SEO.
"El mecanismo real era SEO parásito encubierto. El plugin estaba alquilando la posición en Google de setenta mil sitios web a quien estuviera operando ese canal secundario en 2021", explicó Ginder.
Sin embargo, el peligro real para los sitios afectados proviene del propio mecanismo de actualización, que permitía la ejecución de código arbitrario bajo demanda. Ese mecanismo todavía está presente en los sitios que usan el plugin, pero inactivo porque el subdominio malicioso externo de comando y control no se resuelve. Aunque el dominio sigue activo.
La solución para los usuarios afectados es desinstalar el plugin y reemplazarlo con una copia limpia de la versión 5.2.4 obtenida de WordPress.org cuando vuelva a estar disponible.
Ginder incluyó un mensaje para quien esté detrás de la puerta trasera, instándolos a hacer lo correcto ahora y publicar un manifiesto de actualización estático que obligue a todas las instalaciones afectadas a actualizar automáticamente a la versión limpia de WordPress.org, eliminando efectivamente la puerta trasera de los sitios previamente comprometidos.
El investigador advierte que Quick Page/Post Redirect todavía tiene 70,000 instalaciones con una verificación de actualización que apunta al servidor 'anadnet'.
Deja una respuesta