近日,WordPress插件供应商ShapedPlugin的构建与分发管道遭攻击者入侵,恶意代码被注入到通过官方授权更新渠道分发的Pro版本插件中。ShapedPlugin旗下的免费插件在WordPress.org插件库中拥有超过40万活跃安装量,此次攻击仅影响通过Easy Digital Downloads基础设施分发的商业版本,免费插件未受影响。攻击者能够选择性地仅向商业授权版本注入恶意代码。

攻击者在受感染的插件包中植入了一个恶意加载器文件,该文件会在管理员页面加载时触发,从远程服务器下载载荷,将其安装为伪装插件,向C2服务器报告受害域名,然后自动删除自身以清除痕迹。这种自删除行为使感染初期痕迹迅速消失,增加了事后取证的难度。
下载的伪装插件包含多种攻击工具,包括文件管理器、数据库管理工具、URL参数网页后门等,能够实现文件管理、数据库操作和远程命令执行。其中最为关键的是凭证窃取功能,该模块能够捕获明文用户名和密码,并专门针对WP 2FA、Wordfence Login Security、Really Simple SSL 2FA等多个双因素认证插件的TOTP种子进行定向窃取。攻击者同时获得密码和TOTP种子后,可以完全绕过双因素认证。
此外,恶意插件还注册了REST API后门,支持通过认证令牌写入任意文件;包含硬编码的登录绕过机制,允许攻击者在不知道密码的情况下以管理员身份登录。在数据窃取方面,恶意插件会收集wp-config.php中的数据库凭证、管理员账户信息、邮件插件凭证以及近三个月的WooCommerce订单数据。
此次攻击的时间线显示,攻击者于5月21日将恶意代码注入Pro版本构建,5月18日已出现最早感染案例,Wordfence于6月10日确认感染后与供应商取得联系,供应商于6月16日发布声明确认已展开调查并实施修复措施。受影响的插件包括Real Testimonials Pro 3.2.5、Product Slider Pro 3.5.4之前版本及Smart Post Pro 4.0.2之前版本。
建议使用ShapedPlugin Pro产品的网站所有者立即进行扫描,检查是否存在伪装插件,轮换所有管理员密码、数据库凭证和API密钥,并重新生成所有用户的2FA密钥。此次攻击反映了供应链安全威胁的持续演进,攻击者已开始针对双因素认证等额外安全层进行主动猎取。
夜雨聆风