Cảnh báo: Các plugin trả phí của ShapedPlugin bị cài backdoor trong cuộc tấn công chuỗi cung ứng

Các quản trị viên website sử dụng WordPress cần đặc biệt lưu ý sau khi phát hiện một cuộc tấn công chuỗi cung ứng (supply chain attack) nhắm vào các plugin trả phí của nhà phát triển ShapedPlugin. Kẻ tấn công đã xâm nhập thành công vào hệ thống phân phối, cài cắm mã độc vào các bản cập nhật chính thức.

Các plugin bị ảnh hưởng

Theo phân tích từ Wordfence, sự cố này ảnh hưởng đến các phiên bản Pro của những plugin sau:

• Product Slider Pro for WooCommerce (phiên bản trước 3.5.4)
• Real Testimonials Pro (phiên bản 3.2.5)
• Smart Post Show Pro (phiên bản trước 4.0.2)

Cần lưu ý rằng cuộc tấn công chỉ nhắm vào các bản Pro được phân phối qua hạ tầng Easy Digital Downloads (EDD) của nhà cung cấp. Các phiên bản miễn phí trên kho lưu trữ WordPress.org hiện không bị ảnh hưởng.

Phương thức hoạt động của mã độc

Mã độc này hoạt động tinh vi bằng cách kích hoạt một trình tải (loader) trên mọi trang quản trị. Nó sẽ kết nối với một server từ xa (194.76.217[.]28:2871) để tải về và cài đặt một plugin giả mạo. Sau khi hoàn tất, plugin giả này sẽ tự ẩn mình khỏi danh sách quản trị WordPress để tránh bị phát hiện.

Mã độc có khả năng:

• Đánh cắp thông tin đăng nhập dưới dạng văn bản thuần (plaintext) và mã xác thực 2FA.
• Thiết lập các phương thức duy trì quyền truy cập (persistence).
• Tạo web shell để thực thi lệnh từ xa.
• Trích xuất dữ liệu nhạy cảm bao gồm: file wp-config.php, thông tin tài khoản quản trị, thông tin đăng nhập của các plugin SMTP và dữ liệu đơn hàng WooCommerce trong 3 tháng gần nhất.

Sau khi thu thập dữ liệu, mã độc sẽ tự xóa dấu vết để gây khó khăn cho quá trình ứng cứu sự cố.

Khuyến nghị cho quản trị viên

ShapedPlugin đã xác nhận sự cố và đang rà soát lại quy trình phát hành sản phẩm. Người dùng đã cài đặt các phiên bản bị ảnh hưởng cần thực hiện ngay các bước sau:

• Cập nhật lên phiên bản an toàn mới nhất ngay khi được nhà phát hành cung cấp.
• Thay đổi toàn bộ mật khẩu quản trị.
• Thu hồi và tạo mới các mã xác thực 2FA cho tất cả người dùng.
• Kiểm tra danh sách tài khoản quản trị để phát hiện các tài khoản lạ.
• Rà soát cấu hình các plugin gửi mail (SMTP) để đảm bảo không bị thay đổi thông tin đăng nhập.

Nguồn tham khảo: The Hacker News