WordPress Malware versteckt sich vor 14 großen Security Plugins

    Ein Reddit-Nutzer berichtet von einer neuen Art von Malware, auf die er gestoßen ist. Diese Schadsoftware konnte von 14 der bekanntesten und größten Sicherheits-Plugins unbemerkt bleiben.

    Unter den betroffenen Plugins befinden sich führende Anbieter wie Wordfence, Sucuri SiteCheck und iThemes Security.

    Dies ist weniger als Kritik an den Plugins zu verstehen, sondern zeigt vielmehr die innovative Methode, mit der sich die Malware eingeschlichen und agiert hat. Die Schadsoftware verbirgt sich in der WP-Datenbank in vertrauten Einträgen wie siteurl und home.

    Darüber hinaus wurden im Backend von WordPress Plugins für Administratoren verborgen und Benachrichtigungen deaktiviert.

    Die Malware hat unbemerkt Administrator-Konten erstellt und nicht angemeldete Nutzer auf schädliche Websites weitergeleitet. Diese Weiterleitungen wurden so eingerichtet, dass sie pro Nutzer nur einmal innerhalb von 24 Stunden erfolgen.


    Den ganzen Artikel inklusive Code-Snippets findet ihr auf gefunden-auf.de, WordPress Tutorials und News.

    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Jeder PHP Code kann sich mit geeignetem Fachwissen vor jedem "Sicherheits-Plugin" das auch nur PHP Code im gleichen Kontext ausführt, verstecken.

    Wenn jemand über ein schwaches Passwort (wie in diesem Fall klar bei Reddit erklärt) an einen Administrator Account kommt, kann er damit beliebigen PHP Code ausführen und mit geeignetem Fachwissen auch jedes Plugin aushebeln, Accounts erstellen, und vieles mehr...

    Zitat

    The websites were compromised due to a weak password, not because of any security vulnerabilities in the plugins. They were all development websites under a test subdomain without indexing.


    Der verlinkte Artikel übersetzt das leider falsch bzw. zu ungenau (Unterstreichung ergänzt):

    Zitat

    ..hat er die Infektion auf mehreren WordPress-Webseiten gefunden, die von ihm betreut werden. Dabei kam die Malware wohl über schwache Passwörter, die kompromittiert wurden.

    Da hast du Recht. Das interessante hierbei ist jedoch weniger der Angriffsvektor selbst, über den die Malware auf die Seiten gekommen ist, sondern die Art und Weise, wie sie sich versteckt hat und somit die großen Security-Plugins überlisten konnte. Auch wenn sich die Frage stellt, wie solch eine vergleichsweise "simple" Methode von den Plugins unentdeckt bleiben konnte.

    Sobald ein aktiver Hack in WordPress vorhanden ist, kann der jedes Plugin nahezu beliebig aushebeln. Diese Art Plugins sind hauptsächlich dafür da, z.B. das "brute force" Erraten von Kennwörtern mit IP-Sperren zu beantworten oder ganze Länder IP-Bereiche auszusperren oder einen Hack vorab zu verhindern, indem mögliche Einfalltore und bekannte Lücken in WordPress oder in Plugins oder Themes präventiv verschlossen bzw. verteidigt werden.

    Bereits aktive Hacks werden von solchen Plugins oft gar nicht oder nur teilweise gefunden, das liegt eben daran, dass Plugins und Hack im gleichen Kontext arbeiten.

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden