Thought Leadership
Ein Angreifer kompromittierte die Infrastruktur des Plugin-Anbieters BdThemes und legte darüber unbemerkt Admin-Konten auf über 350.000 WordPress-Seiten an.
Das Sicherheitsunternehmen Defiant wurde über seine Wordfence-Firewall am 7. August auf den Angriff aufmerksam. Ungewöhnlich am Vorfall ist, dass die Angreifer den eigentlichen Plugin-Code im offiziellen WordPress-Verzeichnis nicht verändert haben. Stattdessen kompromittierten sie einen statischen, in einem DigitalOcean-Speicherbereich gehosteten JSON-Datenstrom, den mehrere BdThemes-Plugins über eine interne Komponente namens Biggopti abrufen, um Werbebanner im WordPress-Backend anzuzeigen. Die zugrunde liegende Schwachstelle, von Wordfence mit einem CVSS-Wert von 5,4 als mittelschwere Cross-Site-Scripting-Lücke eingestuft, geht auf einen bereits am 1. März 2026 in Version 4.1.9 des Plugins Prime Slider eingeführten Programmierfehler zurück, bei dem ein aus der JSON-Antwort stammender Wert nicht ausreichend bereinigt in ein HTML-Attribut übernommen wurde.
Öffnete ein angemeldeter Administrator eine beliebige Seite im WordPress-Backend, führte dessen Browser dadurch unbemerkt eingeschleusten JavaScript-Code aus. Dieser prüfte zunächst, ob das jeweilige Ziel für einen Angriff infrage kam, und versuchte anschließend, über die WordPress-REST-API oder den regulären Weg zur Nutzererstellung ein neues Administratorkonto anzulegen. Zusätzlich installierte der Code ein als harmlos wirkendes Plugin mit Namen wie wp-smart-thumbnails, das eine Webshell namens emer-run.php für dauerhaften Zugriff enthielt, sowie zwei sogenannte Must-Use-Plugins, die auf September 2025 zurückdatiert waren, darunter ein Magic-Login-Mechanismus für nicht authentifizierten Administratorzugriff über einen speziellen URL-Parameter. Um die neu angelegten Konten zu verbergen, manipulierte der eingeschleuste Code zudem Datenbankabfragen, sodass die betrügerischen Administratorkonten in der regulären Nutzerliste nicht auftauchten.
Vorhersagbares Namensschema für die angelegten Konten
Bemerkenswert ist zudem, dass die Angreifer für die neu angelegten Administratorkonten kein zentrales Verzeichnis der betroffenen Opfer pflegen mussten: Ein zusätzliches, direkt auf der eigenen BdThemes-Infrastruktur gehostetes Modul erzeugte Benutzernamen deterministisch aus dem jeweiligen Hostnamen der Zielseite, jeweils mit dem Präfix bd_ gefolgt von einem daraus abgeleiteten Hash-Wert. Dieses vorhersagbare Schema erleichtert Verteidigern zugleich die gezielte Suche nach kompromittierten Konten im Rahmen einer Vorfallsuntersuchung.
Nach Angaben von Wordfence lässt sich die für den Angriff genutzte Kontrollserver-Infrastruktur demselben Akteur zuordnen, der bereits für frühere Supply-Chain-Kompromittierungen der Plugins Advanced Responsive Video Embedder und OptinMonster verantwortlich war. Erste Spuren der Kampagne reichen den Forschern zufolge bis zum 23. Juni zurück. Betroffen sind unter anderem die Plugins Element Pack, das allein mehr als 100.000 aktive Installationen zählt, sowie Prime Slider, Ultimate Post Kit, Pixel Gallery, Ultimate Store Kit, Live Copy Paste und Smart Admin Assistant.
Betroffene Plugins vorerst aus dem Verzeichnis entfernt
Das WordPress-Plugin-Team entfernte die betroffenen Erweiterungen am 8. August vorsorglich aus dem offiziellen Verzeichnis, bis eine vollständige Überprüfung abgeschlossen ist. Zwei der zuvor vergifteten API-Endpunkte liefern inzwischen wieder unauffällige JSON-Daten aus, die zugrunde liegende Schwachstelle selbst war zum Zeitpunkt der Berichterstattung jedoch weiterhin nicht behoben. BdThemes hat sich bislang nicht öffentlich zu dem Vorfall geäußert, die tatsächliche Gesamtzahl betroffener Websites ist derzeit unklar.
(red)
