При проведении аудита безопасности на сайте под управлением популярного движка WordPress специалисты обнаружили файл auto-update.php. Следствие показало, что auto-update.php является не частью плагина, а бэкдором с возможностью заливать файлы удалённо. CCTM в течении трех лет был доступен среди плагинов на официальном сайте WordPress, но почти год не обновлялся. Не так давно сменился владелец плагина, который обновил его до версии 0.9.88. wooranker, он же новый владелец, добавил файл CCTM_Communicator.php, который отправлял отчет о каждом новом сайте, установившим данный плагин. Помимо бэкдора, CCTM отправлял логины и хеши паролей на wordpresscore.com. Попытки авторизоваться на инфицированных сайтах результатов не дали и wooranker сменил тактику. Обновление плагина позволяло редактировать файлы wp-login.php, wp-admin/user-new.php, и wp-admin/user-edit.php, что позволило получать пароли еще до шифрования. Так же были созданы аккаунты с правами администратора (support/ support@wordpresscore.com). Исследователи рекомендуют, всем кто использует плагин, обновить до безопасной версии 0.0.8.9
