Unbekannte haben sich Zugriff auf das offizielle Pluginverzeichnis verschafft und die drei populären Plugins AddThis, WPtouch und W3 Total Cache mit einer Backdoor ausgestattet. Durch die Hintertür kann man Zugriff auf das betroffoffene System erlangen.
Wie genau dabei vorgegangen wurde, wird derzeit noch ermittelt – als eine erste Vorsichtsmaßnahme wurden auf WordPress.org, bbPress.org und BuddyPress.org alle Passwörter zurückgesetzt. Wer sich dort anmelden möchte, muss sich ein neues Passwort zusenden lassen.
Wer in den letzten Tagen AddThis, WPtouch und W3 Total Cache installiert oder aktualisiert hat – sollte unbedingt auf die neue Version aktualisieren und ebenfalls sein Passwort ändern.
Wir empfehlen dringend, für verschiedene Dienste nicht das gleiche Passwort zu verwenden. Weitere Informationen zu der Situation finden sich im offiziellen Statement.
Steffen
22. Juni 2011 um 14:58
Schweinerei – die harte Arbeit, die von ehrlichen Menschen für das gemeinschaftliche Gut gemacht wurde, so schamlos aus zu nutzen!
Latz
22. Juni 2011 um 16:20
Wer etwas genauer über die Details erfahren möchte: The WordPress.org Commit Breakin – Evil Code
Berlin Lover - Ich liebe Berlin
22. Juni 2011 um 17:46
Jetzt auch noch bei WordPress. Ätzend. Ich habe meinen Berlin-Blog gerade neu gemacht, werde einmal alles überprüfen. Danke für die Hinweise, Latz, guter Link!
David
22. Juni 2011 um 18:41
Uhh, das ist wirklich echt krass, was da teilweise abgeht. 100%igen Schutz gibt es eh nie, das sollte klar sein. Was in dem Falle ein kleiner Trost ist, das die WP-Community wohl groß genug sein dürfte mit vereinten (internationalen?) Kräften solche Sachen dauerhaft abzuwehren.
Lieber warte ich ein paar Tage länger auf Plugin-Updates, wenn hoffentlich noch mehr Prüfroutinen eingebaut werden.
Vielleicht kann man auch für Pluginautoren, noch zusätzliche Prüfungen/”Sperren” einbauen bei Registrierung usw. Damit der Aufwand für Schädliche weiter erhöht wird. Weiß nicht ob das hilft, aber nur mal paar Anregungen in die Runde…
@Latz:
Danke für den Artikel zur Aufklärung!
John
22. Juni 2011 um 19:12
Wie konnte man sich Zugriff auf die Plugin-Repository verschaffen? Ich denke das ist hier eher die Frage.
Ohne jetzt die Angreifer in Frage zu stellen, ich hätte anders gehandelt. Wenn man einfach so ein Update rausbringt, dann werden es die zuständigen Leute sicherlich schnell bemerken.
Eine kleine Frage noch nebenher: AddThis benutze ich ohne Plugin extern von der Seite als JS. Gibt es dazu auch ein Plugin?
toptarif4u
22. Juni 2011 um 19:58
Danke für die Warnung. Gleich mal updaten …
Malte
22. Juni 2011 um 19:59
Bringt eine Neuinstallation wirklich etwas? Wieweit reicht der Zugriff den die Angreifer auf meinen Blog erreichen?
Und ich konnte WPtouch nicht einfach aktualisieren, bzw. ist die Aktualisierung fehlgeschlagen und mein Blog war nicht mehr erreichbar, erst als ich das PlugIn gelöscht und neu geupt habe, geht es noch jemanden so?
Knut
22. Juni 2011 um 23:22
Was derzeit an Angriffen auf Blogs erfolgt sollte nachdenklich machen. Allein der Kommentarspam macht nur noch wütent. So langsam sollten wir uns was einfallen lassen um diversen Hackern das Handwerk zu legen.
Vielleicht sollten wir uns auch ein wenig mehr Zeit für das Thema Sicherheit nehmen. Jedes halbe Jahr ein neues Upgrad muss nicht sein.
Hody
23. Juni 2011 um 00:46
Die haben sich bei mir eben upgedated, muss ich mir jetzt Sorgen machen?
Christian
23. Juni 2011 um 10:00
Ich habe das Plugin erstmal gelöscht und schaue mich nach einer Alternative um. Das Plugin ist für meinen bescheidenen kleinen Blog eh noch nicht zwingend notwendig.
Bei Plugins gilt sowieso immer auf der Hut bleiben, auch am Feiertag..
Johannes
23. Juni 2011 um 10:36
schlimm
Dieter
23. Juni 2011 um 12:28
Danke an Olaf für den warnenden Artikel und an Lutz für den informativen weiterführenden Link.
Hatte in einer Installation W3 Total Cache und in mehreren Installationen WPtouch als Plugins installiert, aber wohl nicht aktiviert.
Vorsorglich habe ich die Plugin-Ordner und Dateien direkt per ftp gelöscht, ohne zu wissen, ob sie auf meinem Webspace in der Version mit dem Backdoor-Code waren.
Ist mein Verständnis richtig, dass die Plugins aktiviert sein müssen, damit der Backdoor-Code ebenfalls aktiv werden kann?
Bin kein Programmierer und frage deshalb lieber mal nach.
Andreas
23. Juni 2011 um 13:09
Danke für die schnellen Infos. Wenn man nicht immer dabei bleibt…..
Michael Karl
23. Juni 2011 um 17:45
Da erkennt man mal wieder, wie angreifbar man doch ist. Den Plugins aus dem Repository schenken die meisten natürlich 100%ig Vertrauen, daher ist ein Angriff wieder dieser um so schlimmer.
Sebastian von Baseline-Toner
24. Juni 2011 um 15:48
Danke für den Hinweis. Das nervt wirklich.
Henning
25. Juni 2011 um 00:33
Danke für den Hinweis.
Warum passiert sowas zurzeit?
Was haben denn die Angreifer davon, Privatblogger anzugreifen? Es sei denn, die wollen an die Plattform selbst ran… ^^
Jedenfalls scheint’s auf anderen Plattformen auch ähnlich zur Sache zu gehen. Ist schon schlimm, was da zurzeit abgeht.
Hab’s selbst mal bei mir veröffentlicht:
Neu in meinem Blog: Angriffe auf WordPress-Plattformen über Plugins: http://tinyurl.com/6zqxpbb
Peter
26. Juni 2011 um 03:07
wer soetwas macht gehört weggesperrt, zum Glück habe ich die addons nicht installiert.
Thorsten
28. Juni 2011 um 07:27
Na das ist ja mal wieder super! Da hat man endlich in mühevoller Kleinarbeit ein funktionierendes System geschaffen und schon kann sich jemand Fremdes Vorteile daraus verschaffen. Warum lässt man die kleineren Portale nicht in Ruhe und konzentriert sich hackertechnisch auf die Großen?
Holger
28. Juni 2011 um 22:01
Echt übel! Zum Glück hatte ich diese Plugins nicht installiert, dennoch ist es erschreckend wie schnell einem sowas pasiieren kann…
Andre
29. Juni 2011 um 12:43
Zum Glück hatte ich nichts davon auf meinen Seiten am Laufen.
Blogger
2. September 2011 um 16:52
@Henning
Ja warum möchte jemand deinen Blog “kapern”. Wie wäre es mit dem Aufbau eines Spamservers? Ein kleiner Eintrag in dem Theme den Du vielleicht gar nicht bemerkst und es werden fleißig Mailadressen von den Kommentatoren gesammelt um danach daraus eine Mailliste gezaubert mit denen die typisch Verdächtigen wie Viagra etc. Mails versand werden.
Der Fantasie sind keine Grenzen gesetzt und wenn genügend kriminelle energie vorhanden ist kann auch ein WordPressBlog ganz schön was anstellen.
VG und sichere System wünscht Euch da draussen ..der blogger