Ninja Forms plugin flaw exploited to hack WordPress sites

Pi­ra­tas in­for­má­ti­cos están apro­ve­chan­do vul­ne­ra­bi­li­da­des de eje­cu­ción de có­di­go en dos com­ple­men­tos de Word­Press di­fe­ren­tes, iden­ti­fi­ca­dos como WPC Pro­duct Bund­les for Woo­Com­mer­ce y Ninja Forms. Estas fa­llas de alta gra­ve­dad re­quie­ren que exis­ta una se­sión au­ten­ti­ca­da para poder ser uti­li­za­das en los ata­ques con el fin de des­ple­gar puer­tas tra­se­ra y ge­ne­rar per­fi­les de ad­mi­nis­tra­ción fal­sos.

El mismo actor de ame­na­zas está de­trás de ambas cam­pa­ñas me­dian­te el uso de una carga útil de Ja­vaS­cript idén­ti­ca pro­ve­nien­te de una di­rec­ción es­pe­cí­fi­ca. El có­di­go ma­li­cio­so se in­ser­ta en los en­víos de for­mu­la­rios o en los datos de los pe­di­dos, de modo que cuan­do un ad­mi­nis­tra­dor con se­sión ini­cia­da vi­sua­li­za el con­te­ni­do, la se­cuen­cia de co­man­dos se eje­cu­ta apro­ve­chan­do los per­mi­sos le­gí­ti­mos para ins­ta­lar un com­ple­men­to frau­du­len­to y crear cuen­tas de ad­mi­nis­tra­dor, una de las cua­les per­ma­ne­ce ocul­ta en el panel de con­trol.

Una vez com­ple­ta­da la in­fec­ción, los ata­can­tes lo­gran múl­ti­ples mé­to­dos de ac­ce­so que per­sis­ten in­clu­so si se eli­mi­na el com­ple­men­to falso ini­cial, de­bi­do a la uti­li­za­ción de com­ple­men­tos au­xi­lia­res adi­cio­na­les. La pla­ta­for­ma de se­gu­ri­dad des­cu­brió la ac­ti­vi­dad y re­co­mien­da a los ad­mi­nis­tra­do­res ac­tua­li­zar los com­ple­men­tos afec­ta­dos a sus ver­sio­nes más re­cien­tes, ad­vir­tien­do que esta me­di­da frena fu­tu­ros ata­ques pero no eli­mi­na in­fec­cio­nes pre­vias, por lo que es ne­ce­sa­rio re­vi­sar si el sitio ha sido com­pro­me­ti­do.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre…