Вредоносное приложение под видом плагина «All in One SEO Pack» к движку WordPress распространилось через активную рассылку спама рекламирующего его, где говорилось о том, что Pro-версия плагина «All in One SEO Pack» для поисковой оптимизации WordPress теперь доступна бесплатно.
Лохотронщики подобрали оптимальное время для рассылки подобных сообщений – спам рассылался в прошлую «черную» пятницу, когда большинство производителей предлагали неимоверные (70-80%) скидки на свои товары. Указанная в рассылке фраза о том, что получатель этого письма стал 25 из 100 избранных, некоторых начала терзать смутными сомнениями.
По результатам анализа «подарочного» плагина «All in One SEO Pack», который был сделан Даниэлем Кидом из Sucuri, выяснилось, что за базовую основу были взяты настоящие исходные коды плагина «All in One SEO Pack» и перепилены под замысел злоумышленников. В списке файлов обнаружился сценарий aioseop_class.php, который выполнял PHP код с адреса http://91.239.15.61/o1.txt.
Таким образом злоумышленники перезаписывали содержимое файла /index.php, измененный индексный файл для подключения к адресу http://91.239.15.61/java/google.php использовал curl, после чего выполнялся код, который присутствовал по ранее указанному адресу. По большому счету выполнялась банальная эксплуатация веб браузера пользователя в целях злоумышленника, перенаправление на внешний сайт и т.п..
