fałszywa wtyczka

Fałszywa wtyczka to wtyczka WordPressa napisana albo przerobiona w złym zamiarze, która udaje zwykłe narzędzie, na przykład wtyczkę do pamięci podręcznej, SEO czy bezpieczeństwa. Po instalacji tworzy konta administratorów, zostawia tylną furtkę (backdoor) albo wstrzykuje do strony złośliwy kod. W 2024 roku GoDaddy opisał kampanię, w której takie wtyczki trafiły na ponad 6000 stron na całym świecie ^[1].

Jak działa

Fałszywa wtyczka rzadko trafia na stronę przez błąd w kodzie. Najczęściej instaluje ją ktoś, kto już ma dostęp do panelu. W kampanii opisanej przez GoDaddy napastnicy logowali się skradzionymi danymi administratorów, a cały proces był zautomatyzowany: nie otwierali nawet strony logowania, tylko od razu wysyłali dane ^[1]. BleepingComputer, omawiając te same ustalenia, podaje, że wtyczki instalowano w sposób zautomatyzowany po zalogowaniu i że dane logowania pochodziły prawdopodobnie z ataków siłowych, phishingu i złośliwego oprogramowania kradnącego hasła ^[2].

Drugą drogą jest sam właściciel strony, który pobiera wtyczkę z nieoficjalnego źródła. Tak działa piracka wtyczka (nulled plugin), która często niesie ten sam rodzaj kodu.

Przebieg kampanii z 2024 roku pokazuje schemat poniżej.

RYS. 1Fałszywa wtyczka instalowana skradzionym hasłem

Wtyczka ma zwykle wiarygodny nagłówek: nazwę, opis, numer wersji i autora. W 2023 roku zespół Wordfence znalazł tylną furtkę udającą narzędzie do pamięci podręcznej, z profesjonalnie wyglądającym komentarzem na początku pliku, który miał zmylić osobę przeglądającą kod ^[3].

Odmiany

GoDaddy zauważył, że napastnicy szybko tworzą dużą liczbę wiarygodnych nazw wtyczek razem z metadanymi i osadzonym kodem ^[1]. Polski CHIP, relacjonując tę kampanię, wymienia też nazwę „Google SEO Enhancer” ^[4].

W WordPressie

WordPress pozwala administratorowi wgrać dowolną wtyczkę jako paczkę ZIP. Nie wymaga, by pochodziła z katalogu WordPress.org, i nie sprawdza jej intencji. Dokumentacja utwardzania radzi, by nie pobierać wtyczek ani motywów z niezaufanych źródeł i ograniczyć się do repozytorium WordPress.org albo znanych firm ^[5].

Fałszywe wtyczki ukrywają się na kilka sposobów:

• Ukrycie na liście wtyczek. Tylna furtka z 2023 roku usuwała się z listy aktywnych wtyczek ^[3].
• Katalog mu-plugins. Wtyczki „must-use” działają zawsze, nie da się ich wyłączyć w panelu i nie pojawiają się na domyślnej liście wtyczek, tylko w osobnej sekcji ^[6]. Nie ma też dla nich powiadomień o aktualizacjach ^[6].
• Różna treść dla różnych gości. Ta sama tylna furtka pokazywała botom inną treść niż ludziom i wstawiała linki spamowe, a administratorom pokazywała strony bez zmian ^[3].

Zagrożenia i skutki

• Nieautoryzowane konto administratora. Wtyczka z 2023 roku tworzyła użytkownika „superadmin” z zaszytym hasłem i pełnymi uprawnieniami ^[3].
• Zdalne sterowanie stroną. Ta sama wtyczka mogła zdalnie włączać i wyłączać inne wtyczki ^[3].
• SEO spam i złośliwe przekierowania dla części odwiedzających ^[3].
• Atak na odwiedzających. Wtyczki z 2024 roku wstrzykiwały JavaScript z fałszywymi komunikatami o aktualizacji przeglądarki ^[1], a pobrane programy były typu infostealer ^[2]. To odmiana techniki opisanej w haśle fałszywa CAPTCHA.
• Ukryty ładunek. Skrypty z kampanii 2024 pobierały dalszy kod z inteligentnego kontraktu w sieci Binance Smart Chain ^[1].

Jak się bronić

Podstawą jest ochrona kont z uprawnieniem do instalacji wtyczek. BleepingComputer, za badaczami, zaleca sprawdzenie, czy każdą wtyczkę zainstalował ktoś z zespołu, usunięcie podejrzanych i zmianę haseł administratorów na unikalne ^[2].

1. Uwierzytelnianie dwuskładnikowe i silne, unikalne dane uwierzytelniające dla administratorów.
2. Wtyczki tylko z WordPress.org albo od znanych producentów ^[5].
3. Zablokowanie instalacji i aktualizacji wtyczek z panelu stałą DISALLOW_FILE_MODS w pliku wp-config.php, jeśli zmiany wdraża się inną drogą ^[7]. Ta sama stała wyłącza edytor plików motywów i wtyczek ^[7].
4. Regularny przegląd sekcji Must-Use na ekranie wtyczek ^[6].
5. Monitorowanie integralności plików. Dla wtyczek z katalogu WordPress.org WP-CLI ma polecenie wp plugin verify-checksums, które porównuje pliki z sumami kontrolnymi WordPress.org ^[8].

Przy przeglądzie listy wtyczek warto zwrócić uwagę na kilka sygnałów. Podejrzana jest wtyczka, której nikt z zespołu nie pamięta, wtyczka o nazwie znanego produktu z dopiskiem w rodzaju „Classic”, zainstalowana obok oryginału, oraz wtyczka, której nie da się znaleźć w katalogu WordPress.org ani na stronie żadnego producenta. Podejrzana jest też wtyczka bez historii aktualizacji albo z datą instalacji zbieżną z nieudanymi próbami logowania w logach serwera. Pomaga w tym wtyczka bezpieczeństwa z dziennikiem zmian i skanerem plików.

Jeśli fałszywa wtyczka już jest na stronie, samo jej usunięcie nie wystarcza. Trzeba usunąć konta, które utworzyła, sprawdzić katalog mu-plugins i bazę danych; zob. czyszczenie przejętej strony.

Historia i przykłady

W lipcu 2023 roku zespół Wordfence podczas czyszczenia zainfekowanej strony znalazł tylną furtkę udającą wtyczkę cache; opisał ją BleepingComputer ^[3]. Wtyczka tworzyła konto „superadmin”, ukrywała się na liście wtyczek i serwowała spam robotom wyszukiwarek ^[3].

Od czerwca do września 2024 roku trwała kampania ClickFix, w której fałszywe wtyczki trafiły na ponad 6000 stron WordPress ^{[1] [2]}. GoDaddy opublikował analizę 17 października 2024 roku ^[1]. Wtyczki pokazywały odwiedzającym fałszywe komunikaty i nakłaniały do pobrania złośliwego oprogramowania ^[4].