恶意 Admin Menu Editor Pro 插件在 1,500 个 WordPress 网站上植入后门

在威胁行为者攻陷维护者的网站并推送创建隐藏用户账户的更新后，恶意版本的 WordPress Admin Menu Editor Pro 插件被分发给了 200 多名客户。

开发者 Janis Elsts 表示，一个未经授权的第三方于周一访问了 adminmenueditor.com 网站，并上传了 2.35 版本作为该插件 Pro 版的更新。该更新包含一个 includes/wp-user-consent.php 文件，会在受影响的网站上安装一个 web shell。

在发现入侵后，Elsts 移除了该恶意更新，并于同日 19:00 UTC 推送了一个干净的 2.36 版本。然而，黑客仍能访问该网站，并同样攻陷了新版本。

Admin Menu Editor Pro 是 Admin Menu Editor 的高级版本，后者是一款存在于超过 30 万个网站上的 WordPress 插件，允许管理员自定义其仪表盘菜单、对其他用户隐藏插件、设置按角色划分的访问限制，以及创建登录/登出重定向。

Elsts 告诉 BleepingComputer，恶意的 Admin Menu Editor Pro 2.35 版本大约在 06:00 至 13:00 UTC 期间在官方网站上可用。其包含的恶意 PHP 代码还创建了一个隐藏用户账户。

据该开发者称，至少有 230 名客户在 1,500 个网站上安装了该恶意更新。然而，Elsts 警告称受害者数量可能更大，因为难以确定运行被植入木马的 2.36 版本插件的客户数量。

"根据对更新服务器日志的分析，约 230 名客户在初始攻击中受到影响。该恶意版本至少被安装在 1,500 个网站上（每名客户往往有多个网站），"Elsts 告诉 BleepingComputer。

"另有数百名客户在相关时间窗口内或前后下载了该插件，也可能受到影响，"该开发者补充道。

调查表明，攻击者很可能拥有 root 级服务器访问权限，因此 Elsts 决定将网站下线，直到能够有把握地恢复为止，以此保护客户。

目前，Elsts 发布了一个静态页面，详细说明该事件、客户如何检查自己是否受影响，以及将失陷网站恢复到安全状态的建议。

任何安装了 Admin Menu Editor Pro 2.35 和 2.36 版本的人都应检查以下失陷迹象：

• admin-menu-editor-pro 目录中的 includes/wp-user-consent.php
• 一个新的 /wp-content/object-cache/ 目录
• wp_users 表中一个以 wp_ 开头的用户，该用户可能从 WordPress 仪表盘中隐藏
• wp_options 表中名为 wp_ocache* 之类的选项

2.34 版本被认为是干净的，Admin Menu Editor 的免费版本似乎未受影响。

Elsts 表示，最可靠的修复方法是从 9 月 14 日之前的安全备份恢复失陷网站。如果无法做到，该开发者建议删除该插件、"/wp-content/object-cache/" 目录以及上述数据库条目。

Admin Menu Editor 插件的开发者表示，该事件仅限于其基础设施，并向受影响的客户致歉。