热门 WordPress 重定向插件暗藏休眠后门多年

“快速页面 / 文章重定向”（Quick Page/Post Redirect）插件安装量超 7 万，5 年前被植入后门，可向用户网站注入任意代码。


该恶意软件由 WordPress 托管服务提供商 Anchor 的创始人奥斯汀・金德（Austin Ginder）发现。他旗下有 12 个受感染站点触发安全警报后，他展开调查并发现了这一情况。

“快速页面 / 文章重定向” 插件已在WordPress.org上提供多年，是一款用于在文章、页面和自定义 URL 中创建重定向的基础实用插件。

目前，WordPress.org已暂时将该插件从插件目录下架，等待审查。尚不清楚是插件作者主动植入后门，还是其账号被第三方入侵导致。

金德解释称，2020 年至 2021 年间发布的 5.2.1 和 5.2.2 官方版本插件，包含一个隐藏的自我更新机制，该机制指向第三方域名 anadnet [.] com，这使得在WordPress.org控制范围之外推送任意代码成为可能。

2021 年 2 月，在代码审查人员有机会仔细检查之前，该恶意自我更新程序已从WordPress.org上该插件的后续版本中移除。

据金德称，2021 年 3 月，运行 “快速页面 / 文章重定向”5.2.1 和 5.2.2 版本的站点，会悄然从外部服务器接收经过篡改的 5.2.3 版本，这个版本引入了一个被动后门。

不过，来自 “w.anadnet [.] com” 服务器且带有额外后门代码的版本，与WordPress.org上同一版本插件的哈希值不同。

该被动后门仅在用户登出时触发，以对管理员隐藏其活动。它与 “the_content” 挂钩，并从 “anadnet” 服务器获取数据，很可能被用于 SEO 垃圾邮件操作。

金德解释说：“实际的机制是寄生式 SEO 伪装。2021 年，该插件利用 7 万个网站为运营这个秘密渠道的人换取谷歌排名。”

然而，受影响网站真正的危险来自更新机制本身，它可按需实现任意代码执行。虽然使用该插件的网站上该机制依然存在，但处于休眠状态，因为恶意的外部命令与控制子域名已无法解析，不过主域名仍处于活跃状态。

受影响用户的解决办法是卸载该插件，待WordPress.org再次提供 5.2.4 的干净版本时重新安装。

金德给后门背后的相关人员留话，敦促他们现在做正确的事，发布一个静态更新清单，强制所有受影响的安装自动升级到WordPress.org的干净版本，从而有效清除之前受感染网站上的后门。

研究人员警告称，“快速页面 / 文章重定向” 插件仍有 7 万安装量，且更新检查指向 “anadnet” 服务器。