Backdoor für Fernzugriff gefunden

Schadcode in WordPress Plugin „Display Widgets“ gefunden

Wie zahlreiche Quellen berichten, wurde im WordPress Plugin „Display Widgets“ eine Backdoor gefunden, die dem Autor den Fernzugriff auf über 200.000 Websites ermöglicht. Indessen wurde die Erweiterung aus dem offiziellen Plugin Repository entfernt. Was dahinter steckt, wie du es entfernst und welches alternative Plugin wir dir empfehlen, liest du in diesem Artikel.

Seit Juli 2017 befand sich diversen Quellen zufolge Schadcode im beliebten Plugin „Display Widgets“. Die Erweiterung, welche auf über 200.000 WordPress Systemen installiert wurde, wechselte im Mai den Besitzer. Kurze Zeit später wurde offenbar eine Backdoor vom neuen Eigentümer in den Quellcode integriert, die den Fernzugriff ermöglichte. Vor etwas mehr als einer Woche kam die Sache dann im WordPress Support Forum ans Tageslicht. David Cameron Law berichtete von einer Funktion, die dynamische WordPress Posts anlegt.

Näheres inklusive einer detaillierten Timeline ist bei Wordfence nachzulesen. Bei dem Angreifer handelt es sich scheinbar um einen Wiederholungstäter, der bereits über das von ihm erworbene Plugin „404 to 301“ Links auf betroffenen WordPress Websites injizierte. Auch heise Security berichtete.

Sicheres Update 2.7: Backdoor aus Display Widgets entfernen

Wie Mika Epstein (Moderator, wordpress.org) kürzlich bekanntgab, ist das Update Display Widgets 2.7 sicher. Es entfernt die Backdoor auf bestehenden Installationen und stellt den Ursprungszustand von Version 2.0.5 her. Ein neuer Download ist jedoch nicht mehr möglich, das Plugin wurde aus dem WordPress Repository entfernt.

Alternativen zu Display Widgets

Nutzer die bisher auf das Plugin gesetzt haben, stehen jetzt vor einem kleinen Problem: Es war nicht umsonst beliebt und half vielen Webmastern bei der Strukturierung ihrer verschiedenen Unterseitenarten mit Hilfe von Conditional Widgets. Es ermöglichte es dem Seitenbetreiber, Sidebar Widgets auf bestimmten Seitenarten wie Beiträgen, Seiten, Kategorien etc. aus- oder einzublenden.

Ein vergleichbares Plugin, das all diese Funktionen mit sich bringt, ist Widget Context. Es ist mit der aktuellen WordPress Version 4.8.1 kompatibel und erfährt durch den Wegfall von „Display Widgets“ gerade erhöhte Aufmerksamkeit. Eine ebenfalls vielversprechende Erweiterung stellt Widget Options dar. Beide können kostenlos bei wordpress.org heruntergeladen werden.


Schreibe einen Kommentar

Pressengers lebt von der Wordpress Community, beteilige dich mit einem Kommentar!
Deine E-Mail Adresse wird nicht veröffentlicht.

Achtung: Mit dem Absenden eines Kommentars erklärst du dich damit einverstanden, dass alle eingegebenen Daten und deine IP-Adresse zum Zweck der Spamvermeidung durch das Programm Akismet in den USA überprüft und gespeichert werden. Weitere Informationen zu Akismet und Möglichkeiten des Widerrufs..