セキュリティ企業Securonixの調査をもとに、WordPressの管理者のブラウザを悪用する攻撃手法「TRUST#GRAFT」が報じられました。WordPressの認証を破るのではなく、すでにログインしている管理者の権限を借りて、バックドア入りのプラグインを勝手にインストール・有効化させるのが特徴です。
どんな攻撃か
攻撃の入り口は、細工されたJavaScriptが埋め込まれたページです。記事によると流れは次のとおりです。
- 閲覧者の画面を、Cloudflareの「Just a moment」風の確認画面で覆い隠す
- ブラウザの情報（WebGLやタイムゾーン、言語など）を集め、解析ツールと通常のブラウザを見分ける
- localStorageなどに保存されたトークン類やCookieの一部を送信する（HttpOnlyのCookieは読めない）
- 訪問者がログイン中のWordPress管理者だった場合、プラグインのアップロード画面からnonceを取得し、ZIPファイル（wm.zip）を送信して有効化まで実行する
すべてWordPress本来の機能を管理者の権限で呼び出しているため、いわゆる認証バイパスの脆弱性ではありません。記事は、この種の攻撃ではMFAの効果は限定的だとも指摘しています。すでに認証を終えたブラウザ経由で動くためです。
仕込まれるバックドアの特徴
- 名前は「Web Media Optimizer 2.1」。名前は無害そうですが、中身はバックドア
- 公開ページにリモートのJavaScriptを差し込む
- プラグイン一覧や更新通知から自分自身を隠す
- 有効化されると、
wp-content/mu-plugins/wmedia-recovery.phpに自分をコピーして居座る
mu-plugins（必須プラグイン）は自動で読み込まれ、通常のプラグイン画面には表示されません。そのため、見えているプラグインのフォルダを消しただけではバックドアが残る点に注意が必要です。なお、記事ではCVE番号や影響を受けるWordPressのバージョンには触れられておらず、最初にスクリプトが被害者に届いた経路も確認されていないとされています。
サイト運営者が今すぐできること
- FTPやサーバーのファイルマネージャーなど、管理画面を介さない方法で
wp-content/mu-pluginsとpluginsを直接確認し、wmedia-recovery.phpや身に覚えのないプラグインがないかを見る - ログがあれば、管理者セッションによるプラグインのアップロードと有効化が短時間に連続していないかを確認する
- 日常のネット閲覧と、wp-adminへのログインに使うブラウザ（プロファイル）を分ける。管理画面にログインしたまま他のサイトを見て回らない
- 不審なサイトを開いてしまった心当たりがあれば、再ログインし、パスワードの変更も検討する
- 管理者アカウントを必要最小限に絞る
サプライチェーン経由でプラグインが改ざんされた事例については、Rank Math PRO 3.0.123へのマルウェア混入の記事もあわせてご覧ください。
出典: GBHackers「New TRUST#GRAFT Attack Tricks WordPress Admin Browsers Into Installing Malicious Plugins」
