Sitios JavaScript comprometidos atacan a los administradores de WordPress para implementar una puerta trasera PHP persistente.

Una cam­pa­ña re­cien­te pone en pe­li­gro a los ad­mi­nis­tra­do­res de Word­Press que man­tie­nen su panel de con­trol abier­to en el mismo na­ve­ga­dor que em­plean para na­ve­gar por in­ter­net. La in­ves­ti­ga­ción de­ta­lla un car­ga­dor de Ja­vaS­cript que iden­ti­fi­ca cuan­do un ad­mi­nis­tra­dor con se­sión ac­ti­va vi­si­ta un sitio web afec­ta­do, apro­ve­chan­do la con­fian­za del na­ve­ga­dor para in­tro­du­cir una puer­ta tra­se­ra de PHP de forma ocul­ta.

Los ata­can­tes evi­tan la ne­ce­si­dad de co­no­cer la con­tra­se­ña del ad­mi­nis­tra­dor gra­cias al uso de las pro­pias se­sio­nes ac­ti­vas en el na­ve­ga­dor. Esta ca­de­na de ata­que, iden­ti­fi­ca­da por in­ves­ti­ga­do­res de se­gu­ri­dad como TRUST#GRAFT, no in­ter­fie­re con el pro­ce­so de ini­cio de se­sión, sino que va­li­da si el vi­si­tan­te cuen­ta con pri­vi­le­gios de ad­mi­nis­tra­ción para luego in­ser­tar có­di­go ma­li­cio­so.

El pro­ce­so ma­li­cio­so ini­cia cuan­do se mues­tra un marco que apa­ren­ta ser un con­trol de se­gu­ri­dad de una pla­ta­for­ma co­no­ci­da, cu­brien­do toda la pan­ta­lla. Du­ran­te este tiem­po, el script re­co­pi­la in­for­ma­ción del en­torno, como datos grá­fi­cos, la zona ho­ra­ria, di­men­sio­nes de la pan­ta­lla y la can­ti­dad de com­ple­men­tos ins­ta­la­dos, ade­más de bus­car ras­tros de he­rra­mien­tas au­to­ma­ti­za­das.

Tras su­pe­rar una pe­que­ña ve­ri­fi­ca­ción, la in­for­ma­ción es trans­mi­ti­da a un ser­vi­dor con­tro­la­dor que de­ter­mi­na la con­ti­nui­dad del pro­ce­so. En la fase prin­ci­pal, el script em­plea las coo­kies de se­sión del na­ve­ga­dor para ac­ce­der a la sec­ción de su­bi­da de com­ple­men­tos de Word­Press y ex­traer un token de se­gu­ri­dad, co­no­ci­do como nonce, di­rec­ta­men­te desde dicha pá­gi­na.