תוספי BdThemes ל-Elementor נוצלו להחדרת מנהלים מזויפים לאתרי WordPress
תוקפים השתלטו על פיד הבאנרים של BdThemes, יצרנית Element Pack ותוספים נוספים ל-Elementor. דרכו הריצו קוד בדפדפן של מנהלי אתרים, יצרו חשבונות מנהל מוסתרים והשתילו דלת אחורית.
TL;DR בקצרה
- Wordfence חשפה ב-8 באוגוסט מתקפת שרשרת אספקה דרך פיד הפרסומות של שבעה תוספים של BdThemes.
- קבצי התוספים לא השתנו. התוקפים שינו את המידע שהתוספים מושכים משרת היצרנית.
- הקוד הזדוני יצר מנהלים מוסתרים, השתיל webshell והוסיף דרך כניסה בלי סיסמה.
- Element Pack לבדו מותקן ביותר מ-100,000 אתרים. התוספים הוסרו זמנית מ-WordPress.org.
תוקפים ניצלו שבעה תוספים של BdThemes ל-WordPress כדי ליצור חשבונות מנהל מזויפים ולהשתיל דלת אחורית. אחד מהם הוא Element Pack, שמותקן במעל 100,000 אתרים. חברת האבטחה Wordfence פרסמה את הממצאים ב-8 באוגוסט. המיוחד במתקפה: אף שורה בקוד התוספים לא השתנתה.
איך התוקפים חדרו דרך BdThemes בלי לגעת בקוד
התוספים של BdThemes מציגים בלוח הבקרה באנרים של מבצעים. את הבאנרים הם מושכים מפיד JSON באחסון הענן של החברה. לפי Wordfence, התוקפים השיגו הרשאת כתיבה לאחסון הזה. הם החליפו את המידע הלגיטימי במטען זדוני.
זה עבד בגלל חולשה ברכיב בשם Biggopti, שאחראי על הבאנרים. הרכיב הכניס שדה מהפיד לתוך ה-HTML בלי לנטרל אותו. כך התוקפים יכלו להזריק JavaScript לכל דף בלוח הבקרה. לפי Infosecurity Magazine, הקוד הבעייתי נכנס לתוסף Prime Slider ב-1 במרץ. Wordfence מעריכה שזו רשלנות ולא כוונה. היא דירגה את החולשה בציון 5.4, חומרה בינונית.
ברשימת התוספים שנפגעו מופיעים Element Pack, Prime Slider, Pixel Gallery ו-Ultimate Post Kit. לצידם ברשימה גם Ultimate Store Kit, Live Copy Paste ו-Smart Admin Assistant. כולם תוספים של אותה יצרנית, ורובם מרחיבים את בונה העמודים Elementor. BdThemes עצמה מדברת על מעל 350 אלף התקנות פעילות בכל המוצרים שלה.
מה הקוד הזדוני עשה באתר
הסקריפט רץ בדפדפן של כל מנהל שפתח דף בלוח הבקרה. הוא בדק מול שרת שליטה אם לתקוף את האתר. אם כן, ניצל את ההרשאות של המנהל המחובר ויצר חשבון מנהל חדש.
אחר כך הוא התקין תוסף מזויף ובו webshell. זהו קובץ PHP שמאפשר להריץ פקודות על השרת מרחוק. לפי Cyber Security News, שם הקובץ הוא emer-run.php. התוקפים הוסיפו גם תוספי Must-Use, שנטענים תמיד ואי אפשר לכבות מלוח הבקרה. אחד מהם פותח דלת כניסה למנהל בלי סיסמה, דרך פרמטר מיוחד בכתובת.
הקוד גם שינה את השאילתות למסד הנתונים. כך המנהלים המזויפים לא מופיעים ברשימת המשתמשים, והמונה מותאם בהתאם. לפי Cyber Security News, שמות המשתמשים מתחילים ב-bd_ ואחריו שש תווים. כתובות המייל שלהם הן לרוב בדומיין wordpress.org.
BdThemes והתמונה הגדולה
לפי Wordfence, הקמפיין התחיל אולי כבר ב-23 ביוני. החברה קיבלה דיווח ב-7 באוגוסט, ולמחרת שני הפידים כבר החזירו מידע נקי. צוות התוספים של WordPress.org סגר זמנית את שבעת התוספים לבדיקה. לפי BleepingComputer, BdThemes לא הגיבה לפניות.
לפי Wordfence, שרת השליטה שייך לאותו תוקף שפרץ בעבר לתוספים OptinMonster ו-Advanced Responsive Video Embedder. כלומר, יש כאן דפוס: תוקפים מחפשים את החוליה החלשה אצל היצרן, לא בתוסף עצמו.
מה זה אומר עבורכם
- בדקו אם התוספים אצלכם: עברו על רשימת התוספים וחפשו את שבעת השמות שלמעלה.
- אל תסמכו על רשימת המשתמשים: הקוד מסתיר מנהלים מזויפים. בדקו את טבלת המשתמשים ישירות במסד הנתונים, למשל דרך phpMyAdmin בחברת האחסון.
- חפשו קבצים חשודים: חפשו את emer-run.php ובדקו את תיקיית mu-plugins. כל רכיב שאתם לא מזהים שם דורש בירור.
- נקו עד הסוף: אם מצאתם סימנים, מחקו את המנהלים המזויפים והחליפו את כל הסיסמאות. החליפו גם את מפתחות האבטחה בקובץ wp-config.php.
- הפיד נקי, האתר לא בהכרח: הניקוי אצל היצרן לא מסיר דלת אחורית שכבר יושבת אצלכם.
מה הלאה
המתקפה מראה שגם תוסף מוכר ומעודכן יכול להפוך לפתח כניסה. כל רכיב שמושך מידע משרת חיצוני ומציג אותו בלוח הבקרה הוא נקודת תורפה. לכן כדאי לצמצם את מספר התוספים באתר ולהשאיר רק את מה שבאמת בשימוש.
מקורות והרחבה
- PSA: Supply Chain Compromise in BdThemes Ecosystem via Poisoned API ResponseWordfence
- BdThemes plugins supply chain hack creates rogue WordPress adminsBleepingComputer
- WordPress Plugins Compromised Without a Single File ChangeInfosecurity Magazine
- WordPress supply chain attackCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
