5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼

專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，結果找到其他4個也被植入類似程式碼的外掛程式，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。

對此，他們也公布被植入惡意程式碼的外掛程式名稱及版本，這些外掛程式是：

●4.4.6.4至4.4.7.1版Social Warfare
●2.2.5至2.5.2版Blaze Widget
●1.0.2至1.0.3版Wrapper Link Element
●1.0.4至1.0.5版Contact Form 7 Multi-Step Addon
●1.2.1版Simply Show Hooks

值得留意的是，除了Social Warfare推出4.4.7.3版移除相關程式碼，Wrapper Link Element提供不含有關內容的1.0.0版，其餘開發者並未推出更新予以修補。

而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。