WP-VCD malware en sitios WordPress

Una cepa de malware rastreado como WP-VCD que se esconde en los archivos de WordPress legítimos y que se utiliza para agregar un usuario admin

El malware ha sido visto por primera vez durante el verano del 2017 por el investigador de seguridad italiana Manuel D'Orso.

La versión inicial de esta amenaza se cargó a través de una llamada de include el archivo wp-vcd.php, de ahí Nombre del software malicioso y se inyecta código malicioso en archivos del núcleo de WordPress como functions.php y class.wp.php. Esto no fue una campaña masiva, pero los ataques continuaron a lo largo de los últimos meses.

La semana del 13 de noviembre, el equipo de seguridad Sucuri descubrio una nueva variante de este malware que inyecta código malicioso dentro de los archivos legítimos de twentyfifteen y twentysixteen, los temas por defecto que se entregan con el CMS WordPress en 2015 y 2016, y que todavía se encuentran en un gran número de sitios, si bien deshabilitado.

Los atacantes no les importa si los temas estan activos o no, y utilizaron sus archivos para ocultar código malicioso. Este código crearía un nuevo usuario admin llamado 100010010. El propósito de esta cuenta fue de puerta trasera para abrir una conexión a sitios infectados por lo que los atacantes podrían llevar a cabo ataques de secuencias de comandos en fechas posteriores.

De acuerdo con Sucuri, ladrones vulnerabilidades apalancadas en los complementos obsoletos y temas para cargar el software malicioso wp-CVD en los sitios vulnerables. Los usuarios habrían estado seguros si se usan cualquier firewall de aplicaciones web básico (WAF) que habría descubierto y se evita la modificación de archivos del núcleo de WordPress.

Plugins de WordPress populares afectados por fallas de seguridad

Pero WP-CVD no fue la única noticias relacionadas con WordPress. En primer lugar, el proyecto de WordPress lanzado WordPress 4.9 , una versión que se centra en la adición de características mayormente centrados en el programador.

Ademas los investigadores encontraron vulnerabilidades en dos plugins de WordPress muy populares Yoast SEO (más de 5 millones de instalaciones) y form formidable (más de 200.000 Instala).

Ryan Dewhurst encontró un cross-site scripting (XSS) en el plugins de Yoast SEO que permite a los atacantes inyectar código en sitios vulnerables. Esto se soluciono con la version 5.8 de Yoast SEO.