Cuộc tấn công được nhóm Threat Intelligence của Wordfence Security phát hiện vào ngày 24/6, nhưng các vụ tiêm mã độc dường như đã xảy ra từ ngày 21 đến ngày 22/6.

Ngay sau khi phát hiện ra vi phạm, Wordfence đã thông báo cho các nhà phát triển plugin ngay sau khi phát hiện ra vụ vi phạm. Các bản vá đã được phát hành trong cùng ngày cho hầu hết các sản phẩm.

05 plugin đã được cài đặt trên hơn 35.000 trang web, bao gồm:

- Social Warfare 4.4.6.4 đến 4.4.7.1 (đã được khắc phục trong phiên bản 4.4.7.3)

- Blaze Widget 2.2.5 đến 2.5.2 (đã được khắc phục trong phiên bản 2.5.4)

- Phần tử liên kết Wrapper 1.0.2 đến 1.0.3 (đã được khắc phục trong phiên bản 1.0.5)

- Contact Form 7 Multi-Step Addon 1.0.4 đến 1.0.5 (đã được khắc phục trong phiên bản 1.0.7)

- Simply Show Hooks 1.2.1 đến 1.2.2 (chưa có bản vá lỗi)

Wordfence vẫn đang điều tra để làm rõ cách mà kẻ tấn công truy cập vào mã nguồn của plugin. Cuộc tấn công có thể ảnh hưởng đến số lượng plugin WordPress lớn hơn, nhưng bằng chứng hiện tại cho thấy sự xâm phạm chỉ giới hạn ở 05 plugin trên.

Hoạt động của backdoor và IoC

Mã độc trong các plugin bị xâm phạm cố gắng tạo tài khoản quản trị viên mới và đưa SEO spam (thêm các nội dung hoặc liên kết không mong muốn vào trang web nhằm thao túng kết quả tìm kiếm) vào trang web bị xâm nhập.

Wordfence cho biết rằng: “Ở giai đoạn này, chúng tôi nhận thấy phần mềm độc hại được chèn vào sẽ cố gắng tạo một tài khoản quản trị viên mới và sau đó gửi những thông tin đó đến máy chủ do kẻ tấn công kiểm soát”.

Wordfence lưu ý thêm rằng một số plugin bị ảnh hưởng đã tạm thời bị xóa khỏi WordPress.org, điều này có thể khiến người dùng nhận được cảnh báo ngay cả khi họ sử dụng phiên bản vá lỗi.