Pirackie dodatki do popularnych CMS-ów zawierają backdoory

Jeżeli korzystacie z pirackich dodatków lub skórek do popularnych systemów zarządzania treścią, to możecie mieć poważny problem – w Internecie grasuje backdoor nazwany CryptoPHP, który infekuje serwisy postawione na Wordpressie, Joomli i Drupalu. Czynnikiem wspólnym jest fakt stosowania przez administratorów takich witryn dodatków pirackich ze źródeł innych, niż oficjalne.

Według holenderskiej firmy Fox-IT zajmującej się zabezpieczeniami skala tego zjawiska jest ogromna: zainfekowanych backdoorem miałoby być tysiące skórek i wtyczek do wspomnianych systemów. Do ich rozpowszechniania stosowany jest bardzo prosty zabieg: zainfekowane pliki są udostępniane za darmo, zamiast tak jak oryginalnie, za opłatą. Wiele osób natomiast z takiej okazji korzysta. Infekcje dotyczą zarówno wtyczek dodających nowe funkcje, jak i skórek zmieniających wygląd witryny – użytkownicy Drupala mogą czuć się nieco bezpieczniej, bo w ich przypadku chodzi tylko o motywy.

Możliwości CryptoPHP są całkiem spore. Pozwala on autorom na komunikację i sterowanie poprzez zdalny serwer, za pomocą maila, a także ręcznie. Co ważne, w pierwszym przypadku stosowane jest szyfrowanie do przesyłania informacji, infrastruktura cyberprzestępców jest rozbudowana, a listy zdalnych serwerów aktualizowane, więc ich blokowanie nie przynosi pożądanego skutku. Szkodliwy skrypt może także samodzielnie się aktualizować. Choć był on znany już we wrześniu ubiegłego roku, teraz doszło do prawdziwego „wysypu” nowych mutacji: od 12 listopada wykryto aż 16 równych wariantów, zainfekowanych jest przynajmniej kilka tysięcy stron.

Backdoor jest najczęściej wykorzystywany do pozycjonowania stron internetowych atakujących w sposób nieświadomy dla administratora, na którego stronie znajdą się np. linki pozycjonujące. Zainfekowane serwisy mogą więc ucierpieć w dwojaki sposób: po pierwsze, atakujący mają zdalny dostęp do PHP na serwerze i w zasadzie mogą np. zniszczyć nasze dane, wykradać informacje logowania użytkowników, czy też manipulować treścią. Z drugiej strony nienaturalne linki może zauważyć także Google, które w efekcie nałoży na witrynę filtr lub ban, wykluczając ją tym samym z możliwości odnalezienia w wyszukiwarce. Taka strata będzie równie bolesna, często oznacza utratę zysków z reklam i dużej części czytelników.

Niestety (dla deweloperów) piractwo skórek i wtyczek kwitnie, podobnie zresztą do sytuacji znanej z aplikacji desktopowych czy mobilnych. Dla wielu osób nawet niewielka opłata za dodatki jest na tyle wysoka, że nie chcą one inwestować, skoro mogą to samo zdobyć za darmo – ten sam proceder często doprowadza do infekcji Windowsa czy Androida, winni są użytkownicy. Jeżeli mimo ostrzeżeń decydujemy się na użycie jakichkolwiek plików z nieznanego źródła, powinniśmy przede wszystkim sprawdzić ich kod źródłowy. Jego przejrzenie nie powinno zabrać wiele czasu, może nas natomiast uratować przed różnego rodzaju kłopotami.