Gravity Forms là tiện ích cung cấp biểu mẫu WordPress với hơn 1 triệu lượt cài đặt đang hoạt động, plugin này cung cấp trình chỉnh sửa biểu mẫu trực quan, hỗ trợ quản lý giao dịch và tự động hóa quy trình làm việc, đồng thời hỗ trợ nhiều tùy chỉnh khác.

Hoạt động độc hại liên quan đến Gravity Forms đã được phát hiện vào ngày 11/7, sau khi công ty bảo mật Patchstack (Estonia) nhận được báo cáo rằng plugin này đã gửi HTTP request đến một tên miền đáng ngờ được tạo vào ngày 8/7.

Request bao gồm thông tin cài đặt WordPress và chứa các hàm độc hại, điều này có thể được các tác nhân đe dọa chưa xác thực gọi đến để thực thi mã tùy ý từ xa trên máy chủ. Mới đây, nhà phát triển RocketGenius của Gravity Forms xác nhận rằng các phiên bản độc hại của plugin này đã được hiển thị và liệt kê trong danh sách tải xuống trên website chính thức.

RocketGenius cho biết: “Hai gói plugin quan trọng của plugin Gravity Forms để tải xuống đã bị một tác nhân bên ngoài xâm phạm và thực hiện các sửa đổi mã trái phép”.

Theo RocketGenius, chỉ có phiên bản Gravity Forms 2.9.11.1 và 2.9.12 có sẵn thông qua trang tải xuống vào ngày 9/7 và ngày 10/7 mới bị lây nhiễm mã độc. Nhà phát triển lưu ý, các gói được tải qua cơ chế tự động cập nhật không phải là độc hại, ngoài ra dịch vụ Gravity API xử lý các bản cập nhật tự động, cấp phép và cài đặt cũng không bị xâm phạm.

RocketGenius cho biết mã độc trong các phiên bản plugin bị xâm phạm được thiết kế để tạo một tài khoản quản trị cho trang web WordPress, tạo ra một backdoor và cho phép kẻ tấn công truy cập cài đặt trang web từ xa, thực thi mã, thao túng tài khoản và đánh cắp dữ liệu.

Trước động thái trên, phiên bản 2.9.13 của plugin RocketGenius đã được phát hành vào ngày 11/7 để khắc phục sự cố. Do đó, người dùng được khuyến cáo cập nhật càng sớm càng tốt để tránh việc trở thành nạn nhân của phần mềm độc hại.

RocketGenius lưu ý: “Khóa và thông tin đăng nhập cho tất cả các dịch vụ chúng tôi sử dụng để lưu trữ các gói đã được cập nhật, nhằm ngăn chặn khả năng truy cập trái phép. Ngoài ra, chúng tôi đã rà soát tổng thể mọi tài khoản quản và thay đổi mật khẩu”.