Un ataque de cadena de suministro a gran escala ha afectado a plugins de WordPress muy utilizados, exponiendo a más de 1,2 millones de sitios web a posibles compromisos. Los atacantes lograron inyectar código malicioso en archivos JavaScript legítimos distribuidos a través de infraestructuras de CDN confiables. Según investigadores de Sansec, la campaña se centró en plugins desarrollados por Awesome Motive, tales como OptinMonster, TrustPulse y PushEngage.

Un ataque de cadena de suministro a gran escala dirigido a plugins de WordPress ampliamente utilizados ha expuesto más de 1,2 millones de sitios web a un posible compromiso, después de que los atacantes inyectaran código malicioso en archivos JavaScript legítimos distribuidos a través de una infraestructura de CDN confiable.

Investigadores de seguridad de Sansec descubrieron una campaña en curso dirigida a plugins desarrollados por Awesome Motive, incluidos OptinMonster, TrustPulse y PushEngage.

Estos plugins están instalados en millones de sitios de WordPress en todo el mundo; solo OptinMonster supera el millón de instalaciones activas.

En lugar de atacar sitios web individuales directamente, los actores de amenazas comprometieron los archivos JavaScript ascendentes alojados en la CDN de Awesome Motive.

Cualquier sitio web que cargara estos scripts ejecutó sin saberlo el malware inyectado, haciendo que este ataque sea comparable a incidentes previos de cadena de suministro a gran escala.

La carga útil maliciosa está diseñada para permanecer oculta y solo se activa cuando un administrador de WordPress ha iniciado sesión. Evita la ejecución en navegadores sin interfaz (headless) y entornos automatizados, reduciendo significativamente las posibilidades de detección durante los escaneos rutinarios.

El hackeo del plugin OptinMonster expone

Una vez activado, el script identifica el entorno de administración de WordPress, recopila metadatos del sitio y extrae tokens de autenticación de los endpoints REST y AJAX.

Utilizando estos tokens, el malware intenta crear cuentas de administrador no autorizadas a través de múltiples métodos, incluyendo llamadas a la API REST y envíos de formularios.

Los scripts inyectados se servían a través de dominios legítimos como:

• a.omappapi.com
• a.opmnstr.com
• a.optnmstr.com
• a.trstplse.com
• clientcdn.pushengage.com

Establece persistencia desplegando tanto una cuenta fija llamada developer_api1 como cuentas aleatorias adicionales que siguen el patrón dev_xxxxxx.

Las credenciales robadas, junto con los detalles del sitio, se cifran y se transmiten a un servidor de comando y control alojado en el dominio tidio.cc, que imita un servicio legítimo para evitar sospechas.

Para mantener el acceso a largo plazo, los atacantes instalan un plugin de puerta trasera (backdoor) oculto diseñado para evadir la detección. El plugin se oculta del tablero de WordPress, las respuestas de la API, los mecanismos de actualización y los registros de actividad.

Esto proporciona a los atacantes un control remoto total de los sitios web comprometidos, permitiendo la ejecución de comandos arbitrarios y la ejecución remota de código mediante solicitudes especialmente diseñadas.

Indicadores de Compromiso

Deberías comprobar lo siguiente en tu organización:

• Dominios sospechosos: tidio.cc (84.201.6.54).
  
• Cuentas de administrador fraudulentas: developer_api1 o dev_xxxxxx.
  
• Plugins ocultos: content-delivery-helper o database-optimizer.
  
• Cadena única: jX9kM2nP4qR6sT8v (clave XOR).

Nota: Las direcciones IP y los dominios han sido desactivados intencionalmente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Los investigadores de Sansec observaron que el plugin cambia frecuentemente su disfraz, apareciendo como herramientas legítimas tales como “Content Delivery Helper” o “Database Optimizer”.

Se ha confirmado la explotación activa, y Patchstack ha bloqueado cientos de intentos de crear cuentas de administrador fraudulentas en múltiples sitios, lo que indica un abuso real de la puerta trasera.

Según Awesome Motive, el incidente fue causado por la explotación de una vulnerabilidad en el plugin UpdraftPlus.

Se informa que los atacantes obtuvieron acceso a un servidor que alojaba la infraestructura de marketing, recuperaron una clave API de la CDN y la utilizaron para inyectar código malicioso en los archivos distribuidos a los clientes.

Desde entonces, la empresa ha eliminado los scripts maliciosos, rotado las credenciales, purgado las cachés de la CDN y migrado los sistemas afectados a una nueva infraestructura.

Se recomienda encarecidamente a los administradores que utilicen los plugins afectados que asuman un posible compromiso si hubo una sesión de administrador iniciada durante la ventana del ataque.

Los pasos inmediatos deberían incluir la auditoría de todas las cuentas de administrador en busca de entradas no autorizadas, el escaneo directo del sistema de archivos para buscar plugins ocultos y la rotación de todas las credenciales.

Dado que el malware se activa solo durante las sesiones de administrador autenticadas, la inspección del lado del servidor sigue siendo uno de los métodos de detección más efectivos.

Este incidente resalta la creciente amenaza de los ataques de cadena de suministro en el ecosistema de WordPress, donde comprometer una sola fuente confiable puede generar un impacto generalizado en millones de sitios web.