L'attacco alla supply chain di WordPres tramite un'API avvelenata rappresenta una nuova e insidiosa frontiera negli attacchi alla sicurezza. Immagina questo scenario: hai installato plugin popolari e affidabili e mantieni tutto aggiornato, ma il tuo sito viene compromesso ugualmente. Come è possibile? Ora non stiamo più parlando di un classico plugin con una falla nel codice. La vulnerabilità, in questo caso, è molto più subdola e colpisce la cosiddetta "supply chain", ovvero la catena di fiducia su cui si basa l'intero ecosistema di WordPress. Infatti in recente incidente ha dimostrato come gli hacker possano sfruttare non il plugin in sé, ma le risorse esterne a cui si collega.

Analizziamo nel dettaglio come funziona questo attacco e, soprattutto, come puoi proteggere il tuo sito.

Come funziona l'attacco alla supply chain di WordPress?

L'attacco ha preso di mira diversi plugin molto noti sviluppati da BdThemes, tra cui Element Pack, Prime Slider e Ultimate Post Kit. Questi strumenti utilizzano un componente interno per mostrare banner promozionali nella bacheca di WordPress. Per farlo, si collegano a un server esterno e recuperano i dati da un semplice file JSON. Ed è proprio qui che si nasconde il problema.

Gli aggressori non hanno violato il repository di WordPress.org né hanno modificato il codice sorgente dei plugin. Hanno invece trovato il modo di compromettere il file JSON ospitato sul server esterno. In pratica, hanno "avvelenato" la fonte dei dati. Il componente del plugin, fidandosi ciecamente di questa fonte, recuperava le informazioni malevole.

A causa di una vulnerabilità di tipo cross-site scripting (XSS), il codice dannoso veniva eseguito direttamente nel browser dell'amministratore del sito non appena accedeva a una qualsiasi pagina del back-end. Un'operazione silenziosa, che si completa in pochi millisecondi e apre le porte del sito agli aggressori.

Per approfondire questo tema, leggi anche il nostro articolo "Attacchi alla supply chain: una minaccia in crescita".

Quali sono le conseguenze per i siti WordPress?

Una volta che il codice malevolo è in esecuzione, le conseguenze possono essere devastanti. L'attacco è progettato per ottenere il controllo completo e persistente del sito compromesso, agendo su più livelli.

Creazione di amministratori fantasma e backdoor

Il primo passo dello script è creare un nuovo account amministratore-truffa. Spesso questi account usano nomi utente prevedibili, come "bd_" seguito da una stringa di caratteri, garantendo agli aggressori un accesso privilegiato e diretto al sito. Successivamente, il malware installa un finto plugin con un nome innocuo, come "wp-smart-thumbnails". Al suo interno, però, si nasconde una webshell: un file, spesso chiamato emer-run.php, che permette agli hacker di eseguire comandi sul server da remoto, come se fossero seduti di fronte al tuo computer.

Meccanismi di persistenza e occultamento

Gli aggressori non si sono fermati al primo accesso, ma hanno puntato alla persistenza. Per assicurarsi di poter rientrare anche se l'account admin venisse scoperto, installavano dei Must-Use plugin. Si tratta di plugin speciali che sono sempre attivi e non possono essere disattivati dalla bacheca.

Infine, per rendere tutto più difficile da scoprire, il malware manipolava il database per nascondere l'account amministratore-truffa dalla normale lista degli utenti. Alterava persino il contatore totale per non destare sospetti: un'operazione studiata per eludere i controlli.

Come rilevare e mitigare l'attacco alla supply chain di WordPress

Anche se la fonte dell'attacco è stata bonificata, il tuo sito potrebbe essere già compromesso. Ecco una checklist pratica per verificare la sicurezza del tuo sito WordPress:

• Controlla gli account amministratore: vai nella sezione Utenti e cerca profili sospetti che non hai creato tu. Presta particolare attenzione a username che iniziano con "bd_" o che utilizzano email strane.
• Ispeziona i plugin installati: verifica la lista dei tuoi plugin e, se ne trovi uno che non ricordi di aver installato, indaga. Controlla anche la cartella mu-plugins tramite FTP o il File Manager del tuo hosting.
• Cerca file malevoli: esegui una scansione dei file del tuo sito alla ricerca di nomi sospetti come emer-run.php o file che iniziano con class-wp-query-.
• Verifica il database: se hai competenze tecniche, cerca nel database opzioni sospette, come fz_emer_login_tokens, che è legata a questo specifico attacco.

L'uso di un plugin di sicurezza affidabile può aiutarti ad automatizzare molte di queste verifiche e a ricevere notifiche in tempo reale.

Una lezione per il futuro: la fiducia non basta

Questo attacco alla supply chain di WordPress è un potente campanello d'allarme per tutta la community. Ci insegna che la sicurezza non riguarda solo il codice che installiamo sul nostro server, ma anche la catena di fiducia che si estende a servizi e API esterne. Infatti un plugin può essere scritto in modo impeccabile, ma se si affida a una risorsa esterna non sicura, diventa un cavallo di Troia. Inoltre questi attacchi non hanno colpito solo WordPress, ma in passato hanno coinvolto anche GitHub.

Per gli sviluppatori la lezione è chiara: ogni dato proveniente dall'esterno deve essere validato e sanificato prima di essere utilizzato. Per gli utenti, invece, la consapevolezza di questi nuovi vettori di attacco è il primo passo per una difesa più efficace.

Ricordati sempre che la sicurezza non è un'azione una tantum, ma un processo continuo di vigilanza e manutenzione.

L'articolo Attacco alla supply chain di WordPress tramite un'API malevola proviene da sicurezza.net.