Pueden instalar puertas traseras en WordPress abusando de sesiones de administrador

Se ha detectado una nueva cadena de ataque que pone en riesgo a los administradores de WordPress que mantienen su panel de control abierto en el mismo navegador que usan para navegar habitualmente. Investigadores han documentado el uso de un cargador de JavaScript que, al detectar una sesión activa de administrador en una página comprometida, aprovecha dicha confianza del navegador para instalar un backdoor de PHP oculto en el sitio.

Los administradores de WordPress suelen mantener su panel de control abierto en el mismo navegador que utilizan para su navegación diaria. Una nueva cadena de ataque demuestra por qué ese hábito es arriesgado.

Varios investigadores han documentado un cargador de JavaScript que espera a que un administrador con sesión iniciada visite una página comprometida y, acto seguido, utiliza la sesión confiable de ese navegador para instalar una puerta trasera (backdoor) de PHP oculta en el sitio web.

El atacante nunca necesita la contraseña del administrador, ya que el propio navegador del administrador hace el trabajo. Casos recientes apuntan al mismo patrón.

Un ejemplo es una campaña de malware de WordPress activada por el administrador que expuso a más de 1,2 millones de sitios web a un posible compromiso.

El malware que se activa únicamente durante las sesiones iniciadas es difícil de detectar mediante escaneos rutinarios, lo que lo convierte en una preocupación creciente para los propietarios de sitios.

Investigadores de seguridad de Securonix Threat Research, Akshay Gaikwad y Aaron Beardslee, identificaron el malware y nombraron la cadena TRUST#GRAFT.

Su análisis muestra que el JavaScript no rompe el inicio de sesión de WordPress. En su lugar, comprueba si el visitante ya ha iniciado sesión como administrador y luego reutiliza esa sesión para añadir código nuevo al sitio. Securonix también señala que no ha confirmado cómo llegó el primer script a la página comprometida.