Un attacco alla supply chain ha permesso l'iniezione di account amministratore e webshell su siti WordPress, sfruttando un feed API compromesso anziché il codice dei plugin.
Una recente campagna di attacchi ha colpito sette plugin sviluppati da BdThemes, noto fornitore di add-on per Elementor, portando alla compromissione silenziosa di numerosi siti basati su WordPress. A differenza delle classiche infezioni che prevedono la modifica diretta dei file sorgenti, gli aggressori hanno optato per una tecnica di supply chain attack più sofisticata: la manipolazione del feed di dati promozionali caricato dinamicamente nella dashboard di amministrazione.
L'attacco è stato reso possibile dall'accesso non autorizzato al bucket di storage utilizzato dall'API di BdThemes. Sostituendo le risposte legittime del server con payload malevoli, i criminali sono riusciti a iniettare codice arbitrario direttamente nei pannelli di controllo degli amministratori ignari. La vulnerabilità, identificata come cross-site scripting (XSS), è nata da un errore di programmazione: un campo JSON ricevuto dal server remoto veniva concatenato in un attributo HTML senza alcuna operazione di sanitization o escaping.
Il vettore di attacco sfrutta il componente Biggopti, integrato nei plugin di BdThemes per visualizzare banner promozionali. Poiché lo script viene eseguito a ogni caricamento della pagina di amministrazione, il payload malevolo si attiva automaticamente nel browser dell'utente loggato. Una volta in esecuzione, il codice sfrutta il token di sessione dell'amministratore per interagire con le REST API di WordPress, creando nuovi account con privilegi elevati.
La persistenza è garantita dall'installazione di un plugin contraffatto contenente una webshell. Questo strumento non solo permette l'accesso amministrativo non autenticato tramite parametri URL specifici, ma manipola attivamente le query al database per nascondere la presenza degli account malevoli dall'elenco utenti, rendendo l'intrusione estremamente difficile da rilevare per un controllo superficiale.
Gli esperti di sicurezza di Wordfence, che hanno analizzato l'incidente, hanno collegato questa campagna agli stessi attori responsabili di recenti compromissioni ai danni di altri plugin popolari, come Advanced Responsive Video Embedder e OptinMonster. La presenza di payload ospitati direttamente sull'infrastruttura di BdThemes suggerisce una violazione a monte, probabilmente dovuta a credenziali di accesso al cloud storage compromesse.
Sebbene la vulnerabilità sia stata classificata con un punteggio di severità medio (5.4), l'impatto reale è elevato a causa della natura silenziosa dell'attacco. Al momento, i sette plugin coinvolti sono stati temporaneamente rimossi dalla directory ufficiale di WordPress.org in attesa di una revisione completa del codice.
Poiché i file dei plugin non sono stati alterati, i tradizionali scanner di integrità dei file potrebbero non rilevare la compromissione. Gli amministratori di siti che utilizzano add-on di BdThemes sono invitati a eseguire una bonifica approfondita:
Questo episodio sottolinea ancora una volta la fragilità dell'ecosistema dei plugin di terze parti, dove la fiducia riposta in un fornitore può trasformarsi in un punto di ingresso critico per attori malevoli.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
