Бэкдор в WordPress

Неприятная новость для владельцев сайтов c системой управления WordPress, использующих бесплатный плагин с функционалом Captcha.

Как выяснилось несколько дней назад, в один из таких плагинов был внедрен вредоносный код, устанавливающий бэкдор от имени администратора системы (user ID 1). Загрузка кода происходила в обход официального репозитория WordPress.

Скандал разразился после того, как плагин Captcha free был удален из репозитория из-за нарушений владельцем авторских прав - он использовал торговую марку WordPess в названии плагина и своего сайта. Поскольку последняя версия имела свыше 300 тысяч установок, это послужило сигналом для его пристального изучения командой, специализирующейся на безопасности веб-приложений.

В результате выяснилось, что плагин создан известным разработчиком, но в августе его бесплатная версия была продана новому владельцу. Через три месяца был выпущен апдейт, который при активации, в обход репозитория загружал сторонний код для установки бэкдора в систему управления сайтом.

Новый владелец Captcha и ранее был замечен в подобного рода активности, с его сайта распространялись апдейты для других приобретенных плагинов WordPress. Бэкдоры он использовал для установки скрытых ссылок на свой спам сайт по быстрым кредитам и продвигал таким образом свой бизнес в поисковых системах.

WordPress является системой распространенной системой управления сайтом (CMS) в мире, но ее открытость имеет обратную сторону в виде скрытых угроз. Владельцам сайтов рекомендуется обращать пристальное внимание к популярным бесплатным плагинам и быть в курсе событий.