Beveiligingsonderzoekers van Securonix Threat Research hebben een nieuwe geavanceerde aanvalsreeks geïdentificeerd, genaamd TRUST#GRAFT. Deze ontdekking benadrukt de risico's van het gebruik van dezelfde browser voor zowel dagelijkse activiteiten als het beheren van een WordPress-website. Beheerders wachtwoorden zijn niet vereist om toe te slaan; de browser van de beheerder voert het werk uit.

De infectie start met een misleidende beveiligingscheck. Deze presenteert zich als een Cloudflare verificatiescherm in een full-screen frame. Tijdens het wachten van de bezoeker verzamelt een script informatie over de schermresolutie, grafische gegevens, tijdzone en het aantal geïnstalleerde plugins. Het script detecteert ook of geautomatiseerde analysehulpmiddelen aanwezig zijn.

Na het voltooien van een simpele puzzel, worden deze gegevens naar een controle server gestuurd. Deze server bepaalt of de aanvalsreeks kan doorgaan naar de volgende fase. Het geanalyseerde JavaScript onderbreekt de WordPress-login niet. In plaats daarvan controleert het of de gebruiker al is ingelogd als beheerder. Indien dit het geval is, wordt de bestaande sessie hergebruikt om nieuwe code aan de website toe te voegen. Dit gebeurt door het script de WordPress plugin-uploadpagina te laten opvragen, gebruikmakend van de aanwezige inlogcookies. Vervolgens leest het script een WordPress-beveiligingstoken (nonce) van deze pagina en downloadt het een ZIP-bestand genaamd wm.zip van een staging server.

De browser uploadt vervolgens dit ZIP-bestand via het standaard eindpunt voor plugin-installaties. Indien de upload succesvol is, opent het script de plugin-pagina en activeert de nieuw geïnstalleerde plugin. Omdat de browser al is ingelogd met de juiste rechten, accepteert WordPress dit verzoek. Wel is vereist dat het account reeds een beheerder is met de permissie om plugins te installeren.

Het geüploade ZIP-bestand bevat een PHP-plugin genaamd Web Media Optimizer, versie 2.1. Deze plugin functioneert als een backdoor. Het injecteert externe JavaScript in publieke pagina's, schakelt TLS-certificaatcontroles uit bij het ophalen van zijn eigen controle-script, en kan, via een ingebouwde token, een beheerderslogin cookie instellen voor het eerste beheerdersaccount.

Na activering kopieert de plugin zichzelf naar de map wp-content/mu-plugins/wmedia-recovery.php. Bestanden in deze map worden automatisch door WordPress geladen en verschijnen niet op de standaard plugin-pagina. Malware die alleen actief wordt tijdens ingelogde sessies, is moeilijk te detecteren bij routinecontroles. Een voorbeeld hiervan is een eerdere WordPress-malwarecampagne die meer dan 1,2 miljoen websites blootstelde.

Verwijdering van enkel de zichtbare plugin is onvoldoende om de infectie te stoppen. De mu-plugins kopie en eventuele resterende externe scriptbronnen moeten ook worden verwijderd. Securonix adviseert gebruikers om een apart browserprofiel te gebruiken voor wp-admin, uit te loggen na verdachte activiteiten, beheerderswachtwoorden regelmatig te wijzigen, rechten voor plugin-uploads te beperken en waakzaam te zijn voor nieuwe PHP-bestanden in de mu-plugins map. Securonix heeft nog niet bevestigd hoe het initiële script op de gecompromitteerde pagina terechtkwam.