Pojavio se novi soj zlonamernog softvera za Linux koji kruži veb lokacijama zasnovanim na WordPress-u. On nastoji da iskoristi 30 poznatih ranjivosti u nekoliko zastarelih WordPress dodataka i tema. Njegov naziv je Linux.BackDoor.WordPressExploit.1 i on ubrizgava zlonamerni JavaScript u ciljanu veb lokaciju. Malware je dizajniran da cilja 32-bitne verzije Linux-a, ali može da radi i na 64-bitnim verzijama.

Pojavom ovog malwera još jednom je postala očigledna važnost pravovremenih ažuriranja i postavljanja jakih i jednistvenih lozinki. Linux.BackDoor.WordPressExploit.1 pokušava da hakuje veb-sajtove preko 30 zastarelih i ranjivih dodataka ili tema, uključujući WooCommerce, WP Live Chat Support Plugin, Google Code Inserter i druge. Jednom kada daljinski kontrolisani trojanac potvrdi da veb lokacija koristi bilo koji ranjivi dodatak, on deluje kao backdoor za guranje zlonamernog JavaScript-a koji preuzima sa svog komandnog i kontrolnog (C2) servera na veb lokaciju.

Ako se jedna ili više ranjivosti uspešno iskoriste, ciljanoj stranici se ubrizgava zlonamerni JavaScript koji se preuzima sa udaljenog servera. Pri tome, injekcija se vrši na način da kada se zaražena stranica učita, ovaj JavaScript će biti prvi pokrenut, bez obzira na originalni sadržaj stranice.

Kada korisnik klikne bilo gde na zaraženoj veb lokaciji, preusmerava se na veb lokaciju po izboru napadača, gde može da mu se servira takozvani malvertising, zatraži da preuzme zlonamerni softver ili može biti serviran u phishing. Linux.BackDoor.WordPressExploit.1 poseduje dodatne funkcije kao što su prelazak u režim pripravnosti, samoisključivanje i pauziranje evidentiranja njegovih radnji.

Ovo je spisak dodataka i tema koje novi malware napada:

• WP Live Chat Support Plugin
• WordPress – Yuzo Related Posts
• Yellow Pencil Visual Theme Customizer Plugin
• Easysmtp
• WP GDPR Compliance Plugin
• Newspaper Theme on WordPress Access Control (vulnerability CVE-2016-10972)
• Thim Core
• Google Code Inserter
• Total Donations Plugin
• Post Custom Templates Lite
• WP Quick Booking Manager
• Facebook Live Chat by Zotabox
• Blog Designer WordPress Plugin
• WordPress Ultimate FAQ (vulnerabilities CVE-2019-17232 and CVE-2019-17233)
• WP-Matomo Integration (WP-Piwik)
• WordPress ND Shortcodes For Visual Composer
• WP Live Chat
• Coming Soon Page and Maintenance Mode
• Hybrid
• Brizy WordPress Plugin
• FV Flowplayer Video Player
• WooCommerce
• WordPress Coming Soon Page
• WordPress theme OneTone
• Simple Fields WordPress Plugin
• WordPress Delucks SEO plugin
• Poll, Survey, Form & Quiz Maker by OpinionStage
• Social Metrics Tracker
• WPeMatico RSS Feed Fetcher
• Rich Reviews plugin

Pored Linux BackDoor.WordPressExploit.1 postoji i Linux.BackDoor.WordPressExploit.2. Obe trojanske varijante sadrže nerealizovanu funkcionalnost za hakovanje administratorskih naloga ciljanih veb lokacija putem napada grubom silom koja podrazumeva primenu poznatih prijava i lozinki, uz korišćenje posebnih reči.