خطر حمله به سایت‌های وردپرسی استفاده کننده از محصولات AccessPress و راهکار رفع آن

بنا بر این گزارش این حمله به سادگی قابل تشخیص نبوده و مهاجمان از طریق اضافه کردن یک webshell کنترل کامل سایت را بدست می گیرند.

این روش حمله، به زنجیره تأمین (Supply Chain Attack) معروف است. backdoored in supply chain attack یا حمله درپشتی در زنجیره تامین برای بسیاری از سایت‌های وردپرس استفاده کننده از قالب و افزونه های AccessPress رخ داده که در ادامه راهکار رفع آن توضیح داده شده است.

اقدام مهاجمان به این صورت است که بعد از نصب قالب یا افزونه، فایل جدیدی به نام initial.php در پوشه اصلی قالب یا افزونه ایجاد شده و آن را در فایل function.php اینکلود می کند. این فایل حاوی کدهای رمزگذاری شده (base64 encoded) است که یک webshell را در فایل wp-includes/vars.php برای ایجاد بکدور جایگذاری می‌کند، بنابراین کنترل از راه دور سایت آلوده به سادگی انجام می شود.

آیا سایت من مورد حمله قرار گرفته است؟

این بدافزار دارای یک تابع خود تخریبی است که فایل initial.php را حذف می کند تا ردپای خود را به حداقل برساند و از شناسایی آن جلوگیری کند. تنها راه شناسایی این حملات بکدور، نظارت بر یکپارچگی فایل هسته ای است. تغییر در فایل vars.php نشان دهنده این حمله است.

در غیر اینصورت اگر کاربران از سایر محصولات این ارائه کننده استفاده می کنند و سرویس فایروال sucuri یا jetpack را نصب کده اند، حمله بکدور به صورت خودکار شناسایی و متوقف می شود. زیرا هرگونه درخواست مستقیم به فایل‌های موجود در wp-includes کاملاً مسدود می‌شود و این رفتار عادی نیست.

این حملات در نیمه اول سپتامبر 2021 صورت گرفت، پس از آن اکثر افزونه های این ارائه کننده در دسامبر 2021 بروز شده و نسخه های تمیز در دسترس کاربران قرار گرفت. سایر افزونه‌های آپدیت نشده نیز از مخزن وردپرس حذف شدند.

با این‌حال بسیاری از وب سایت‌ها هنوز از نسخه های آپدیت نشده و آلوده محصولات AccessPress استفاده می کنند؛ توصیه می شود گام های زیر را جهت شناسایی و رفع مشکل بکدور انجام دهند.

اگر نگران حمله بکدور در زنجیره تامین هستید، گام های زیر را انجام دهید

1. فایل wp-includes/vars.php خود را در خطوط 146-158 بررسی کنید. اگر تابع  ‘wp_is_mobile_fix’  با کدهای مبهم مشاهده کردید، در معرض خطر قرار گرفته اید.
2. همچنین می توانید از ‘wp_is_mobile_fix’  یا ‘wp-theme-connect’ کوئری گرفته تا ببینید آیا فایل های آسیب دیده وجود دارند یا خیر.

Jetpack نیز رول YARA زیر را ارائه کرده است که می تواند برای بررسی آلوده بودن سایت استفاده شود.

rule accesspress_backdoor_infection
{
strings:
 
   // IoC's for the dropper
   $inject0 = "$fc = str_replace('function wp_is_mobile()',"
   $inject1 = "$b64($b) . 'function wp_is_mobile()',"
   $inject2 = "$fc);"
   $inject3 = "@file_put_contents($f, $fc);"
 
   // IoC's for the dumped payload
   $payload0 = "function wp_is_mobile_fix()"
   $payload1 = "$is_wp_mobile = ($_SERVER['HTTP_USER_AGENT'] == 'wp_is_mobile');"
   $payload2 = "$g = $_COOKIE;"
   $payload3 = "(count($g) == 8 && $is_wp_mobile) ?"
 
   $url0 = /https?:\/\/(www\.)?wp\-theme\-connect\.com(\/images\/wp\-theme\.jpg)?/
 
condition:
 
   all of ( $inject* )
   or all of ( $payload* )
   or $url0
}

اگر موارد مشکوکی مشاهده شد، مراحل زیر را برای رفع حمله backdoored in supply chain attack دنبال کنید:

1. فایل های اصلی وردپرس خود را با نسخه های بروز جایگزین کنید
2. قالب یا افزونه های AccessPress آسیب دیده را با نسخه های تازه دانلود شده از مخزن رسمی وردپرس یا وب سایت ارائه دهنده جایگزین کنید.
3. به عنوان یک اقدام احتیاطی، مراحل استاندارد پس از آلودگی مانند به‌روزرسانی رمزهای عبور مدیر wp-admin و پایگاه داده را انجام دهید.

بنابراین اگر از هریک از افزونه و قالب های انتهای مقاله استفاده می کنید؛ توصیه می کنیم در اسرع وقت اقدامات لازم را جهت برقراری امنیت سایت خود انجام دهید.

لیست قالب‌های آلوده شده به در پشتی

لیست افزونه‌های آلوده شده به در پشتی

یادداشت (نکته):

1. این افزونه به‌روزرسانی نشده است، اما گمان می‌رود که تمیز باشد زیرا نسخه موجود در وب‌سایت AccessPress Themes نسخه قدیمی‌تر بود.
2. این افزونه به روز نشده است، اما اعتقاد بر این است که تمیز است زیرا در ابتدا در وب سایت AccessPress Themes موجود نبود.

توصیه‌ها

1. اگر تم یا پلاگینی دارید که مستقیماً از AccessPress Themes یا هر مکان دیگری به جز مخزن وردپرس نصب شده است، باید فوراً به نسخه ایمن همانطور که در جداول بالا نشان داده شده است ارتقا دهید. اگر نسخه ایمن در دسترس نیست، آن را با آخرین نسخه از مخزن وردپرس جایگزین کنید.
2. توجه داشته باشید که این درب پشتی را از سیستم شما حذف نمیکند، بنابراین علاوه بر این باید یک نسخه تمیز از وردپرس را مجدداً نصب کنید تا تغییرات اصلی فایل انجام شده در هنگام نصب درب پشتی را برگردانید.