7 апреля 2026 года в 03:00 по UTC злоумышленники, чья личность на данный момент не установлена, получили несанкционированный доступ к инфраструктуре обновлений компании Nextend — разработчика популярного плагина слайдера Smart Slider 3 Pro.
Через официальный канал распространения обновлений (веб-сервер Nextend) была выпущена вредоносная версия 3.5.1.35 Pro, которая оставалась доступной для скачивания и автоматической установки в течение примерно шести часов. За это время любое веб-приложение на WordPress (бесплатная версия плагина не пострадала) или Joomla, выполнившее обновление, получало не легитимный функционал, а полноценный Remote Access Toolkit (RAT) с архитектурой глубокого персистентного доступа.
Масштаб и зона поражения
Smart Slider 3 — один из самых популярных слайдеров для WordPress, насчитывающий более 800 000 активных установок в сумме по бесплатной и Pro-версиям.
-Затронутая версия -3.5.1.35 Pro
-Платформы -WordPress, Joomla
-Время окна уязвимости -~6 часов (7 апреля 2026)
-Тип атаки -Supply Chain Compromise (цепочка поставок)
-CVSS v3.1 -9.8 (CRITICAL) — вектор AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Примечание: бесплатная версия плагина, распространяемая через официальный репозиторий WordPress.org, не была скомпрометирована.
Технический анализ вредоносной нагрузки (по данным Patchstack)
Эксперты компании Patchstack, специализирующейся на безопасности WordPress, провели детальный reverse-engineering зараженной сборки. Вредоносное ПО представляет собой не примитивный веб-шелл, а многоуровневый набор инструментов с резервированием точек входа.
Механизм удаленного выполнения кода (Pre-auth RCE)
Бэкдор активируется без предварительной аутентификации при каждом HTTP-запросе к скомпрометированному сайту:
-HTTP-заголовок - Назначение
-X-Cache-Status -Триггер активации бэкдора
-X-Cache-Key -Содержит полезную нагрузку, передаваемую в shell_exec()
Злоумышленник может выполнить произвольную команду ОС, отправив специально сформированный запрос с этими заголовками. Выбор названий (X-Cache-) имитирует поведение легитимных CDN-прокси, снижая подозрительность трафика.
Двухрежимный бэкдор
Вирус поддерживает два режима исполнения:
- Режим PHP: выполнение произвольного PHP-кода через скрытые GET-параметры
- Режим Shell: выполнение системных команд ОС
Для обеспечения отказоустойчивости код перебирает шесть различных способов вызова командной оболочки, что позволяет обходить ограничения disable_functions в PHP.
Создание скрытой учетной записи администратора
Бэкдор генерирует учетную запись с именем вида wpsvc_a3f1 (формат может варьироваться) и отображаемым именем «WordPress Service», что маскирует ее под системный процесс.
Техники сокрытия:
- Модификация фильтра pre_user_query — удаляет учетную запись из списка пользователей в админ-панели
- Модификация фильтра views_users — корректирует счетчики ролей, чтобы количество пользователей в интерфейсе не вызывало подозрений
- Email созданного аккаунта: kiziltxt2@gmail[.]com
Персистентность (Persistence) — три резервные точки
Даже после удаления самого плагина Smart Slider 3 Pro бэкдор сохраняет контроль над сайтом через три независимых механизма :
-№ -Путь размещения -Тип файла -Маскировка
-1 -/wp-content/mu-plugins/object-cache-helper.php -Must-Use plugin -Легитимный компонент кэширования
-2 -/wp-content/themes/[active_theme]/functions.php -Файл активной темы -Добавление кода в конец файла
-3 -/wp-includes/class-wp-locale-helper.php -Ядро WordPress -Системный класс локализации
Третья точка (в wp-includes) работает независимо от базы данных и сохраняет функциональность даже при полной смене учетных данных БД.
Скрытые параметры WordPress (Options)
Для хранения конфигурации бэкдор создает три кастомные записи в таблице wp_options с отключенной опцией autoload, что снижает их видимость в стандартных дампах параметров :
-_wpc_ak -Секретный ключ аутентификации
-_wpc_uid -ID скрытой администраторской учетной записи
-_wpc_uinfo -Base64-encoded JSON с логином, паролем и email (в открытом виде)
-_perf_toolkit_source -Дополнительный параметр
-wp_page_for_privacy_policy_cache -Индикатор присутствия
Экфильтрация данных на C2-сервер
В финальной стадии вредоносное ПО отправляет на подконтрольный злоумышленникам домен wpjs1[.]com следующий набор данных:
- URL скомпрометированного сайта
- Секретный ключ бэкдора
- Hostname сервера
- Версии: Smart Slider 3, WordPress, PHP
- Email администратора WordPress
- Имя базы данных WordPress
- Логин и пароль администратора (в открытом виде)
- Список всех установленных методов персистентности
Комментарий экспертов: «Тектонический сдвиг в ландшафте угроз»
Компания Patchstack охарактеризовала инцидент следующим образом:
«Этот инцидент — классический пример компрометации цепочки поставок, делающий традиционные периметровые защиты нерелевантными. Стандартные файрволы, проверка nonce, контроль доступа на основе ролей — ничто из этого не работает, когда вредоносный код доставляется через доверенный канал обновлений. Плагин становится вредоносным ПО».
Ключевая особенность атаки: злоумышленники не эксплуатировали уязвимость в коде плагина, а взломали инфраструктуру разработчика, подменив билд на этапе распространения. Это делает атаку необнаружимой для стандартных сканеров уязвимостей.
Реакция Nextend и меры по сдерживанию
После обнаружения инцидента (примерно через 6 часов после публикации) компания Nextend предприняла следующие шаги :
1. Немедленное отключение серверов обновлений
2. Удаление вредоносной версии 3.5.1.35 из канала распространения
3. Выпуск чистой версии 3.5.1.36 — всем пользователям настоятельно рекомендуется обновиться
4. Инициирование полномасштабного расследования с привлечением экспертов по кибербезопасности
Официальная рекомендация Nextend: «Если у вас есть резервная копия, созданная до 5 апреля 2026 года, настоятельно рекомендуется восстановить сервер из этой копии».
Чек-лист для администраторов зараженных сайтов
Patchstack и Nextend опубликовали подробный список действий для полной очистки скомпрометированных веб-ресурсов :
Немедленные действия:
- Обновить Smart Slider 3 Pro до версии 3.5.1.36
- Проверить и удалить подозрительные учетные записи администраторов (искать wpsvc_,
- Удалить версию 3.5.1.35, если она еще установлена
- Переустановить плагин из чистого источника
Удаление файлов персистентности:
- Удалить /wp-content/mu-plugins/object-cache-helper.php
- Очистить добавленный код в /wp-content/themes/[active_theme]/functions.php
- Удалить /wp-includes/class-wp-locale-helper.php
Очистка базы данных (таблица wp_options):
- Удалить строки с option_name: _wpc_ak, _wpc_uid, _wpc_uinfo, _perf_toolkit_source, wp_page_for_privacy_policy_cache
Конфигурационные файлы:
- Проверить wp-config.php на наличие define('WP_CACHE_SALT', '<token>'); — удалить
- Проверить .htaccess в корне на наличие строки # WPCacheSalt <token> — удалить
Ротация учетных данных:
- Сменить пароль администратора WordPress
- Сменить пароль пользователя базы данных WordPress
- Сменить пароли FTP/SSH и хостинг-аккаунта
Дополнительные меры:
- Включить двухфакторную аутентификацию (2FA) для всех администраторов
- Отключить выполнение PHP в директории /wp-content/uploads/
- Проанализировать логи на предмет необычных POST-запросов
Волна supply chain-атак в апреле 2026 года
Инцидент со Smart Slider 3 Pro произошел на фоне серии атак на цепочки поставок в индустрии программного обеспечения. В тот же период:
-Цель -Тип атаки -Продолжительность
-CPUID (CPU-Z, HWMonitor) -Подмена загрузочных ссылок через API -~6 часов
-Adobe Acrobat Reader (CVE-2026-34621) -Активная эксплуатация 0-day -С декабря 2025 года
-EngageLab SDK (Android) -Intent redirection для криптокошельков -Обнаружено Microsoft
Эта синхронность указывает на возможное наличие скоординированной кампании или, по крайней мере, на растущую привлекательность вектора компрометации цепочек поставок для APT-групп.
Заключение
Атака на Smart Slider 3 Pro является яркой демонстрацией того, что в современном ландшафте угроз безопасность периметра больше не гарантирует безопасность приложения. Когда канал обновлений доверенного разработчика скомпрометирован, все установленные экземпляры плагина становятся вектором распространения вредоносного ПО.
Для организаций, использующих WordPress, этот инцидент должен стать поводом для пересмотра стратегии управления обновлениями и внедрения принципа «нулевого доверия к поставщикам» (Zero Trust to Vendors), включающего:
- Автоматическую проверку контрольных сумм (checksums) критических файлов
- Изолированное тестирование обновлений на staging-среде перед применением на production
- Регулярный аудит файловой системы на предмет неавторизованных изменений
Все пользователи Smart Slider 3 Pro, обновлявшие плагин 7 апреля 2026 года, должны немедленно выполнить полный аудит по приложенному чек-листу и считать свои сайты полностью скомпрометированными до тех пор, пока не будет доказано обратное.