關鍵詞
后門
“快速頁面 / 文章重定向”(Quick Page/Post Redirect)插件安裝量超 7 萬,5 年前被植入后門,可向用戶網站注入任意代碼。
該惡意軟件由 WordPress 托管服務提供商 Anchor 的創始人奧斯汀?金德(Austin Ginder)發現。他旗下有 12 個受感染站點觸發安全警報后,他展開調查并發現了這一情況。
“快速頁面 / 文章重定向” 插件已在WordPress.org上提供多年,是一款用于在文章、頁面和自定義 URL 中創建重定向的基礎實用插件。
目前,WordPress.org已暫時將該插件從插件目錄下架,等待審查。尚不清楚是插件作者主動植入后門,還是其賬號被第三方入侵導致。
金德解釋稱,2020 年至 2021 年間發布的 5.2.1 和 5.2.2 官方版本插件,包含一個隱藏的自我更新機制,該機制指向第三方域名 anadnet [.] com,這使得在WordPress.org控制范圍之外推送任意代碼成為可能。
2021 年 2 月,在代碼審查人員有機會仔細檢查之前,該惡意自我更新程序已從WordPress.org上該插件的后續版本中移除。
據金德稱,2021 年 3 月,運行 “快速頁面 / 文章重定向”5.2.1 和 5.2.2 版本的站點,會悄然從外部服務器接收經過篡改的 5.2.3 版本,這個版本引入了一個被動后門。
不過,來自 “w.anadnet [.] com” 服務器且帶有額外后門代碼的版本,與WordPress.org上同一版本插件的哈希值不同。
該被動后門僅在用戶登出時觸發,以對管理員隱藏其活動。它與 “the_content” 掛鉤,并從 “anadnet” 服務器獲取數據,很可能被用于 SEO 垃圾郵件操作。
金德解釋說:“實際的機制是寄生式 SEO 偽裝。2021 年,該插件利用 7 萬個網站為運營這個秘密渠道的人換取谷歌排名。”
然而,受影響網站真正的危險來自更新機制本身,它可按需實現任意代碼執行。雖然使用該插件的網站上該機制依然存在,但處于休眠狀態,因為惡意的外部命令與控制子域名已無法解析,不過主域名仍處于活躍狀態。
受影響用戶的解決辦法是卸載該插件,待WordPress.org再次提供 5.2.4 的干凈版本時重新安裝。
金德給后門背后的相關人員留話,敦促他們現在做正確的事,發布一個靜態更新清單,強制所有受影響的安裝自動升級到WordPress.org的干凈版本,從而有效清除之前受感染網站上的后門。
研究人員警告稱,“快速頁面 / 文章重定向” 插件仍有 7 萬安裝量,且更新檢查指向 “anadnet” 服務器。
![]()
安全圈
![]()
網羅圈內熱點 專注網絡安全
實時資訊一手掌握!
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧!
特別聲明:以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布,本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.