Содержание
Премиальный WordPress-плагин и тема BuddyBoss попали под атаку: злоумышленники внедрили вредоносный код в систему обновлений. По данным Cybernews, уже пострадали сотни сайтов, а под риском остаются тысячи установок.
BuddyBoss используют для сообществ, подписок и e-learning. У сервиса, по оценке Cybernews, около 50 000 клиентов, включая 27 000 пользователей пакета BuddyBoss Platform и BuddyBoss Theme.
Что именно скомпрометировали и когда это заметили
Атакующий получил доступ к инфраструктуре, которая раздаёт обновления BuddyBoss, и через неё начал распространять заражённые версии. Cybernews пишет, что атаку впервые зафиксировали 19 марта.
Отдельная деталь из расследования: злоумышленник, которого описывают как франкоязычного, использовал Claude для написания вредоносных фрагментов и для того, чтобы продумать доставку кода на update-сервер.
Что умеет малварь и почему это опасно для бизнеса
Вредоносный код заточили под полный захват WordPress-сайта. Он крадёт учётные данные админов, вытягивает чувствительные ключи и копирует базы данных, а также оставляет бэкдор для удалённого доступа.
Cybernews отдельно отмечает, что среди уже украденных данных встречаются ключи Stripe. Для сайтов с оплатой это прямой риск финансовых потерь и компрометации клиентов.
- Цель кражи: пароли администраторов WordPress
- Цель кражи: API-ключи и токены сервисов
- Цель кражи: содержимое баз данных
- Доступ: бэкдор для удалённого управления
По состоянию на момент публикации расследования, минимум 309 сайтов уже столкнулись с эксфильтрацией учётных данных и баз данных.
Какие версии признали заражёнными
Под компрометацию попали конкретные релизы: BuddyBoss Platform 2.20.3 и BuddyBoss Theme 2.19.2. Если сайт обновлялся до этих версий, риск считается повышенным.
Админам также рекомендуют на время отключить автообновления, откатиться на резервные копии до установки этих версий, проверить серверные логи на признаки компрометации и как можно быстрее сменить пароли, API-токены и другие секреты.
Расследование и цифры по пострадавшим сайтам опубликовал Cybernews; там же указаны заражённые версии 2.20.3 и 2.19.2 и дата обнаружения атаки — 19 марта.
