Цепочка TRUST#GRAFT устанавливает бэкдор в WordPress через сессию администратора
Цепочка атак TRUST#GRAFT использует уже аутентифицированную сессию администратора WordPress для установки постоянного бэкдора. Если в браузере открыта учётная запись с правом устанавливать плагины, скрипт загружает и пытается активировать вредоносный плагин через штатные административные механизмы WordPress. Имеющиеся данные не свидетельствуют об обходе аутентификации WordPress как отдельной уязвимости.
Восстановленный JavaScript-код показывает поддельную страницу проверки в стиле Cloudflare, собирает отпечаток браузера и окружения и связывается с контроллером, который управляет доставкой дополнительного содержимого. Вредонос также может пытаться передавать команды через буфер обмена по схеме ClickFix, извлекать значения, похожие на токены, из хранилища браузера и собирать доступные данные cookie.
Обнаружив доступ к страницам администрирования WordPress, скрипт извлекает nonce WordPress, загружает подготовленный архив wm.zip через стандартный эндпоинт установки плагинов и пытается активировать его. Архив содержит вредоносный плагин, замаскированный под Web Media Optimizer. Плагин добавляет удалённый JavaScript на публичные страницы, извлекает и сохраняет конфигурацию контроллера, а при получении его содержимого отключает проверку TLS.
Плагин также копирует себя в wp-content/mu-plugins/wmedia-recovery.php, откуда загружается вне стандартного процесса активации плагинов. Он скрывает себя из стандартных списков плагинов и представлений обновлений. Функция, доступная по токену, позволяет изменить источник удалённого скрипта или установить cookie аутентификации для первой учётной записи администратора.
Собранные доказательства подтверждают наличие загрузчика, перехода в сессию администратора, поэтапно развёрнутого плагина и механизмов закрепления. Они не устанавливают, как JavaScript был доставлен изначально. Возможные источники, включая скомпрометированные страницы, внедрённый контент, рекламные объявления и цепочки перенаправлений, остаются неподтверждёнными.
Авторы отчёта рекомендуют сопоставить записи браузера, веб-сервера, DNS и прокси, а также проверить загрузку и активацию плагинов, файлы в mu-plugins, параметры и транзитные данные WordPress и неожиданные скрипты на публичных страницах.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
