Хакери превземат ъпдейт системата и разпространяват зловреден плъгин

Сериозен инцидент в сигурността засяга популярния плъгин Smart Slider 3 Pro, след като атакуващи успяват да компрометират неговата система за актуализации и да разпространят зловредна версия.

Засегната е конкретно версия 3.5.1.35, която съдържа множество бекдори и механизми за пълен контрол върху компрометираните сайтове.

Какво прави зловредният код

Анализ на експертите от Patchstack показва, че атаката е изключително добре разработена и многопластова. Зловредният код е вграден така, че плъгинът продължава да функционира нормално, без да буди подозрения.

Сред основните му възможности са:

• създаване на скрит администраторски акаунт
• кражба на чувствителни данни и идентификационни данни
• изпълнение на команди от разстояние без автентикация
• допълнителни бекдори с пълен достъп до системата

Механизми за устойчивост (persistence)

Една от най-опасните характеристики на атаката е нейната устойчивост. Зловредният код се разпространява на няколко нива:

• създава скрит потребител с администраторски права
• инжектира код в активната тема (functions.php)
• добавя файлове в wp-includes с имена, имитиращи легитимни системни компоненти
• създава „must-use“ плъгин, който не може да бъде деактивиран от админ панела

Особено притеснително е, че част от бекдорите не зависят от базата данни и остават активни дори при частично възстановяване на системата.

Засегнати платформи и разпространение

Проблемът засяга както WordPress, така и Joomla инсталации. Зловредната актуализация е разпространена на 7 април, но експертите препоръчват възстановяване от резервно копие отпреди 5 април, за да се избегнат рискове от часови разлики.

Плъгинът Smart Slider 3 се използва в над 900 000 уебсайта, което прави потенциалния обхват на атаката изключително широк.

Препоръчани действия

Ако използвате засегнатата версия, трябва да приемете, че сайтът е напълно компрометиран. Препоръчителните стъпки включват:

• незабавно премахване на плъгина и инсталиране на чиста версия (3.5.1.36 или по-стара безопасна)
• изтриване на неоторизирани потребители и файлове
• пълна преинсталация на WordPress, плъгини и теми от надеждни източници
• смяна на всички пароли (администраторски, база данни, хостинг, FTP/SSH)
• регенериране на защитните ключове (salts)
• сканиране за остатъчен зловреден код

Дългосрочна защита

След почистване на системата, експертите препоръчват допълнително укрепване:

• активиране на двуфакторна автентикация (2FA)
• ограничаване на административния достъп
• използване на силни и уникални пароли
• редовно обновяване на всички компоненти

Този инцидент е ясен пример за риска от атаки по веригата за доставки, при които дори легитимни актуализации могат да се превърнат в канал за компрометиране. За администраторите това означава едно – постоянен контрол, мониторинг и бърза реакция при съмнение за аномалии.