WordPress向けプラグイン「Admin Menu Editor Pro」の悪意あるバージョンが200件を超える顧客に配布されていたことが分かりました。脅威アクターが開発元のウェブサイトを侵害し、隠しユーザーアカウントを作成するアップデートを配信していたということです。
開発者のJanis Elsts氏によると、月曜日に何者かがadminmenueditor.comのウェブサイトに不正アクセスし、プラグインのPro版のアップデートとしてバージョン2.35をアップロードしていました。このアップデートにはincludes/wp-user-consent.phpというファイルが含まれており、影響を受けたウェブサイトにウェブシェルをインストールする仕組みになっていました。
侵入に気付いたElsts氏は悪意あるアップデートを削除し、同日19:00 UTC(協定世界時)にクリーンなバージョン2.36を配信しました。しかしハッカーは依然としてウェブサイトへのアクセス権を保持しており、この新しいバージョンも改ざんされてしまいました。
Admin Menu Editor Proは、Admin Menu Editorの有料版です。Admin Menu Editorは30万件を超えるサイトで導入されているWordPressプラグインで、管理者がダッシュボードメニューをカスタマイズしたり、他のユーザーからプラグインを隠したり、ロールごとのアクセス制限を設定したり、ログイン・ログアウト時のリダイレクトを作成したりできる機能を提供しています。
Elsts氏がBleepingComputerに語ったところによると、悪意あるAdmin Menu Editor Proバージョン2.35は、公式ウェブサイト上でおよそ06:00から13:00 UTCの間にわたって公開されていました。このバージョンに含まれていた悪意あるPHPコードは、隠しユーザーアカウントも作成していました。
開発者によると、少なくとも230件の顧客がこの悪意あるアップデートを1,500件のサイトにインストールしていました。ただしElsts氏は、トロイの木馬化されたバージョン2.36を稼働させている顧客数を特定するのが難しいため、被害者数はさらに多い可能性があると警告しています。
「アップデートサーバーのログ分析によると、最初の攻撃で影響を受けた顧客はおよそ230件です。悪意あるバージョンは少なくとも1,500件のサイトにインストールされました(1件の顧客が複数サイトを運用しているケースも多くあります)」とElsts氏はBleepingComputerに語りました。
「該当の時間帯前後にプラグインをダウンロードした顧客はさらに数百件あり、これらも影響を受けている可能性があります」と同氏は付け加えています。
調査の結果、攻撃者はサーバーへのルートレベルのアクセス権を持っていた可能性が高いことが判明しています。そのためElsts氏は、確実に復旧できるまでウェブサイトをオフラインにすることで顧客を保護する判断を下しました。
現在Elsts氏は、今回のインシデントの詳細や、顧客が自身が影響を受けているかどうかを確認する方法、侵害されたウェブサイトを安全な状態に復旧するための推奨事項をまとめた静的ページを公開しています。
Admin Menu Editor Proのバージョン2.35および2.36をインストールした人は、以下のような侵害の兆候がないか確認する必要があります。
- admin-menu-editor-proディレクトリ内のincludes/wp-user-consent.php
- 新規に作成された/wp-content/object-cache/ディレクトリ
- wp_usersテーブル内にあるwp_で始まるユーザー(WordPressダッシュボードからは非表示になっている場合あり)
- wp_optionsテーブル内のwp_ocache*という名前のオプション
バージョン2.34は安全であると見られており、無料版のAdmin Menu Editorは影響を受けていないとみられます。
Elsts氏によると、最も確実な対処法は、9月14日より前の安全なバックアップからサイトを復旧することです。これが不可能な場合、開発者はプラグイン本体、「/wp-content/object-cache/」ディレクトリ、および上記のデータベースエントリを削除することを推奨しています。
Admin Menu Editor WordPressプラグインの開発者は、今回のインシデントは自社インフラに限定されたものだと説明し、影響を受けた顧客に謝罪しました。
