Tausende von WordPress-Websites Ziel von bösartigen Backdoor-Angriffen durch Plugins

JavaScript setzte vier separate Hintertüren auf anfälligen Websites ein

• Sicherheitsforscher entdeckten JavaScript-Code, der vier Backdoors auf WP-basierten Websites installiert
• Sie fanden auch ein anfälliges Plugin, das die vollständige Übernahme der Website ermöglicht
• Für alle diese Sicherheitslücken gibt es Patches und Abhilfemaßnahmen

Ein einzelnes Stück JavaScript-Code hat laut einem neuen Bericht von Cybersecurity-Forschern von c/side mindestens vier separate Hintertüren auf rund 1.000 WordPress-Websites installiert. Die Forscher beschrieben die vier Hintertüren und erklärten, wie Nutzer von Website-Baukästen sich schützen sollten.

Die Analyse erläuterte nicht, wie das bösartige JavaScript auf diese Websites gelangte – wir können entweder schwache oder kompromittierte Passwörter, ein anfälliges Add-on oder Ähnliches vermuten. In jedem Fall wird der Code über cdn.csyndication[dot]com bereitgestellt, eine Domain, die in mindestens 908 Websites erwähnt wird.

Es setzt vier Hintertüren ein. Eine installiert ein gefälschtes Plugin namens "Ultra SEO Processor", das Befehle aus der Ferne ausführen kann, eine injiziert bösartigen JavaScript-Code in die wp-config.php, eine fügt einen SSH-Schlüssel hinzu, um Angreifern dauerhaften Zugriff zu ermöglichen, und eine führt Befehle aus der Ferne aus und öffnet eine Reverse Shell.

Chaty Pro 10/10

Um das Risiko zu minimieren, empfiehlt c/side den Website-Betreibern, nicht autorisierte SSH-Schlüssel zu löschen, ihre WP-Admin-Zugangsdaten zu ändern und die Systemprotokolle auf verdächtige Aktivitäten zu überprüfen.

Gleichzeitig stellte PatchStack fest, dass Chaty Pro, ein beliebtes WordPress-Plugin mit etwa 18.000 Installationen, das Hochladen schädlicher Dateien auf Websites ermöglicht, auf denen es installiert ist. Chaty Pro ermöglicht es den Besitzern, Chat-Dienste mit sozialen Messaging-Tools zu integrieren.

Die Schwachstelle wird als CVE-2025-26776 geführt und hat eine Schwerebewertung von 10/10 (kritisch). Da Bedrohungsakteure sie nutzen können, um bösartige Dateien hochzuladen, kann dies zu einer vollständigen Übernahme der Website führen, daher die kritische Bewertung. Infosecurity Magazine berichtet, dass die Funktion eine Whitelist erlaubter Dateiendungen enthielt, die leider nie implementiert wurde.

„Der Name der hochgeladenen Datei enthält die Upload-Zeit und eine Zufallszahl zwischen 100 und 1000, sodass es möglich ist, eine bösartige PHP-Datei hochzuladen und darauf zuzugreifen, indem man mögliche Dateinamen um die Upload-Zeit herum per Brute-Force ausprobiert“, erklärte PatchStack.

Die Entwickler von Chaty Pro haben am 11. Februar einen Fix veröffentlicht. Allen Nutzern wird empfohlen, die Erweiterung auf Version 3.3.4 zu aktualisieren.

Über The Hacker News