Tarkvaramaailmas pole tarneahela rünnakud midagi uut. See on olukord, kus ründaja ei muugi lahti sinu veebilehte, vaid poetab "kingituse" sisse uksest, mida usaldad – näiteks mõne uuenduse kaudu arendusfirmalt, mis on äsja pahatahtliku uue omaniku poolt ära ostetud. Just nii juhtus hiljuti ühe WordPressi pluginaid arendava ettevõttega.

Üks tuntumaid varasemaid näiteid pärineb aga 2017. aastast, mil ründaja varjunimega Daley Tias ostis ära ülipopulaarse WordPressi plugina Display Widgets. Sel oli üle 200 000 kasutaja, kes usaldasid arendajat. Uus omanik aga lisas koodi pahavara, mis hakkas veebilehtedele postitama rämpsreklaame ja looma peidetud linke. Seejärel kordas ta sama skeemi veel vähemalt üheksa teise pluginaga. See näitab, et äriühingute tarkvaratehingute taga võib peituda küüniline plaan kasutada ära väljakujunenud usaldust.

Eelmisel aastal toimus aga midagi veelgi mastaapsemat.

Müügis kuuekohalise summa eest

Iseenesest pole ju tarkvaraäride ost-müük midagi ebatavalist. Sul võib olla lemmik-pagariäri, kust oled aastaid hommikul saiakesi ostnud. Ühel päeval vahetub omanik. Silt uksel jääb samaks, saiakesed näevad välja ka üsna endised, kuid uus tegija hakkab taignasse lisama midagi, mida sa kohe ei maitse ega näe, kuid mis ei mõju sulle hästi.

Just midagi sellist juhtus äsja WordPressi maailmas rohkem kui 30 väga populaarse pluginaga.

Kõik sai alguse sellest, et üks tarkvarafirma nimega Essential Plugin vahetas omanikku. Nende portfellis oli üle 30 tasuta ja tasulise plugina, mida kasutasid sajad tuhanded veebilehed üle maailma. Uus omanik, kes soetas äri oksjoniportaali Flippa kaudu väidetavalt kuuekohalise summa eest, ei viivitanud kaua – juba tema esimene koodimuudatus sisaldas peidetud "tagaust", vahendab TechCrunch.

Mis on aga selle juures kõige salakavalam osa? Pahavara ei hakanud kohe laastama ja tegutsema, vaid istus vagusi tervelt kaheksa kuud. Tegemist on klassikalise "uinuva agendiga", mis ootab õiget hetke, et märkamatult kahju tegema hakata.

Kuidas rünnak toimus?

Ründajad kasutasid meetodit, mida tavalisel veebilehe omanikul on peaaegu võimatu märgata.

Nad lisasid omandatud pluginatesse mooduli, mis näis süütu analüütikana. Tegelikult aga ühendas see end kurjategijate serveriga ja laadis alla uue faili, mis imbus veebilehe süsteemi – faili nimega wp-config.php.

See fail on WordPressi kasutava kodulehe tähtis koht, kus hoitakse mõnesid kõige kriitilisemaid seadeid. Rünnak oli tehniliselt väga nutikas:

Pahaloomulist koodi ja rämpslinke näidati peitusemängus ainult Google’i robotitele. Sina ise oma veebilehte vaadates ei näinud seal midagi kahtlast, kuid Google’i silmis muutus sait rämpssisu levitajaks, mis hävitas kiirelt mainet ja kaotas otsingumootoris positsiooni.
Kurjategijad kasutasid käskude saatmiseks Ethereumi plokiahelat. See tähendab, et tavalised viisid kuritegeliku serveri sulgemiseks ei töötanud, kuna juhised tulid detsentraliseeritud võrgust.

Kes olid või on ohus?

WordPressi arendusmeeskond on tänaseks sulgenud kõik 31 Essential Plugin'iga seotud pluginat. Kui mõnel veebilehel on veel kasutusel mõni järgmistest (nimekiri on pikem, kuid siin on mõned tähtsamad näited), peaks olema tähelepanelik:

Countdown Timer Ultimate
Accordion and Accordion Slider
Popup Anything on Click
WP Testimonial with Widget
WP Team Showcase and Slider
Post Grid and Filter Ultimate

Kuigi WordPress sundis neile pluginatele peale turvauuenduse, mis "lõikas läbi" ühenduse kurjategijatega, ei suuda see automaatne parandus alati puhastada juba nakatunud wp-config.php faili.

Kuidas ennast kaitsta?

See juhtum toob valusalt esile WordPressi ökosüsteemi ühe nõrga koha: kasutajaid ei teavitata, kui plugina omanik vahetub. Sa võid usaldada arendajat, keda tegelikult enam koodi juures ei eksisteerigi.

Mida saaks paremaks teha?

Kontrolli oma pluginaid: vaata üle oma veebilehe lisamoodulid. Kui mõni neist on tähistatud märkega "Closed" (puudub arendaja tugi) või see kuulub Essential Plugini gruppi, eemalda see kohe.
Tehniline audit: kui kahtlustad nakatumist, lase spetsialistil üle vaadata wp-config.php fail. Kui selle suurus on järsult kasvanud (pahavara lisab sinna tavaliselt umbes 6 KB koodi), võib leht olla nakatunud.
Vähem on parem: iga plugin on potentsiaalne tagauks sinu veebilehele. Hoia kasutusel vaid need pluginad, mis on vältimatult vajalikud.

Seega ole kriitiline, uuenda kodulehe tarkvara pidevalt ja kontrolli aeg-ajalt, kes on sinu tööriistade tegelikud autorid.