TRUST#GRAFT WordPress: verborgen PHP-backdoor
TRUST#GRAFT WordPress is een geavanceerde malwareaanval waarbij cybercriminelen misbruik proberen te maken van bestaande WordPress-beheerderssessies. In plaats van rechtstreeks wachtwoorden te kraken, gebruikt de aanval kwaadaardige JavaScript-code om een reeds aangemelde beheerder onbewust een schadelijke plugin te laten installeren. De malware kan vervolgens een verborgen PHP-backdoor plaatsen die buiten het normale pluginbeheer van WordPress blijft functioneren.
Beveiligingsonderzoekers van Securonix publiceerden op 22 oktober 2026 een technische analyse van de aanvalsketen, die zij TRUST#GRAFT noemen.
De aanval is bijzonder relevant voor WordPress-beheerders, webdesignbureaus en hostingpartijen die meerdere websites beheren.
Vservs adviseert beheerders om bestaande WordPress-installaties te controleren op verdachte plugins, onbekende PHP-bestanden en ongebruikelijke wijzigingen aan beheerderssessies.
Wat is TRUST#GRAFT WordPress?
TRUST#GRAFT WordPress is geen traditionele kwetsbaarheid waarbij een beveiligingscontrole in WordPress rechtstreeks wordt omzeild.
De aanval maakt juist gebruik van de rechten die een reeds aangemelde WordPress-beheerder heeft.
De kwaadaardige JavaScript-code probeert te herkennen of een bezoeker een actieve beheerderssessie heeft op de betreffende WordPress-installatie.
Wanneer dat het geval is, probeert de code de normale WordPress-functionaliteit voor het uploaden en activeren van plugins te misbruiken.
Daarvoor gebruikt de browser de bestaande sessiecookies en beveiligingstokens van de aangemelde beheerder.
De aanvaller hoeft hierdoor niet zelfstandig het WordPress-wachtwoord te achterhalen.
Wel moet de schadelijke JavaScript-code binnen de juiste websitecontext kunnen worden uitgevoerd en moet de betreffende gebruiker bevoegd zijn om plugins te installeren.
Hoe werkt de TRUST#GRAFT-aanval?
De door Securonix onderzochte aanvalsketen begint met kwaadaardige JavaScript-code die in een webpagina wordt uitgevoerd.
De oorspronkelijke methode waarmee deze code op de betreffende pagina terechtkwam, is nog niet definitief vastgesteld.
De code kan een volledig scherm tonen dat lijkt op de bekende beveiligingscontrole van Cloudflare.
Deze vervalste verificatiepagina bevat een melding die bezoekers laat geloven dat hun browser wordt gecontroleerd.
Ondertussen verzamelt de JavaScript-code informatie over de browseromgeving.
De code controleert vervolgens of de gebruiker een actieve WordPress-beheerderssessie heeft.
Wanneer de vereiste voorwaarden aanwezig zijn, probeert de aanvalsketen een ZIP-bestand met een kwaadaardige WordPress-plugin te installeren.
De plugin wordt vervolgens via de reguliere WordPress-functionaliteit geactiveerd.
Omdat deze acties via een reeds aangemelde beheerder verlopen, kunnen ze in logbestanden lijken op legitieme beheeractiviteiten.
Kwaadaardige plugin vermomt zich als Web Media Optimizer
De onderzochte malware gebruikt een WordPress-plugin met de naam Web Media Optimizer.
De plugin presenteert zichzelf als een hulpmiddel voor mediabeheer en prestatieoptimalisatie.
Volgens Securonix bevat de onderzochte versie 2.1 echter functionaliteit die bedoeld is om ongeautoriseerde toegang tot de website mogelijk te maken.
De malware kan externe JavaScript-code in openbare websitepagina’s injecteren.
Daarnaast bevat de plugin functionaliteit waarmee onder bepaalde voorwaarden een bestaande beheerderssessie kan worden aangemaakt.
Hierdoor kunnen aanvallers de controle over een getroffen website behouden.
Waarom is de verborgen PHP-backdoor gevaarlijk?
Een belangrijk onderdeel van TRUST#GRAFT is het gebruik van zogenaamde must-use plugins.
WordPress ondersteunt een speciale directory waarin plugins automatisch worden geladen.
Deze directory bevindt zich normaal gesproken op:
wp-content/mu-plugins/De TRUST#GRAFT-malware probeert zichzelf naar deze directory te kopiëren.
Het onderzochte bestand gebruikt de naam:
wp-content/mu-plugins/wmedia-recovery.phpMust-use plugins worden automatisch geladen en verschijnen niet op dezelfde manier als reguliere plugins in het standaardoverzicht.
Hierdoor kan de malware actief blijven wanneer een beheerder uitsluitend de zichtbare plugin verwijdert.
Volgens Securonix probeert de kwaadaardige plugin zichzelf bovendien te verbergen voor normale plugin- en updateoverzichten.
Welke signalen kunnen wijzen op TRUST#GRAFT?
Beveiligingsonderzoekers hebben verschillende bestanden en infrastructuurkenmerken geïdentificeerd die bij de onderzochte malware horen.
Controleer onder andere op:
- Onbekende plugins met de naam Web Media Optimizer.
- Het bestand wp-content/mu-plugins/wmedia-recovery.php.
- Onbekende PHP-bestanden in must-use pluginmappen.
- Onverwachte JavaScript-code in de HTML-bron van de website.
- Plugins die zonder bekende beheerhandeling zijn geïnstalleerd.
- Ongebruikelijke wijzigingen aan WordPress-opties.
- Nieuwe beheerderssessies zonder verklaarbare aanmeldactiviteit.
De onderzoekers hebben ook de volgende domeinen gekoppeld aan onderdelen van de onderzochte aanvalsinfrastructuur:
- gerlace[.]com
- vtevens[.]icu
- caapman[.]me
- vilialobos[.]lol
Deze domeinen zijn bewust onklikbaar weergegeven.
De aanwezigheid van een dergelijk domein in logbestanden is aanleiding voor onderzoek, maar vormt op zichzelf geen definitief bewijs van een geslaagde aanval.
Is TRUST#GRAFT actief in gebruik?
Securonix heeft een concrete JavaScript-loader, een tweede malwarecomponent en de bijbehorende PHP-backdoor technisch onderzocht.
Daarmee is de werking van de kwaadaardige aanvalsketen bevestigd.
De beschikbare onderzoeksgegevens bewijzen echter niet hoeveel WordPress-websites daadwerkelijk via deze methode zijn gecompromitteerd.
Ook de oorspronkelijke verspreidingsmethode is nog niet definitief vastgesteld.
Vservs adviseert daarom onderscheid te maken tussen bevestigde malwarefunctionaliteit en onbevestigde claims over grootschalige infecties.
Hoe beschermt u WordPress tegen TRUST#GRAFT?
De aanval laat zien dat een sterk wachtwoord en tweefactorauthenticatie niet alle beveiligingsrisico’s kunnen voorkomen.
Wanneer kwaadaardige code wordt uitgevoerd binnen een reeds aangemelde beheerderssessie, kan de browser acties uitvoeren waarvoor de gebruiker al bevoegd is.
Vservs adviseert daarom:
- Gebruik een apart browserprofiel voor WordPress-beheer.
- Gebruik beheerdersaccounts uitsluitend wanneer beheerdersrechten nodig zijn.
- Log uit wanneer administratieve werkzaamheden zijn afgerond.
- Beperk de mogelijkheid om nieuwe plugins te installeren.
- Controleer wijzigingen aan WordPress-plugins.
- Controleer regelmatig de must-use plugindirectory.
- Gebruik actuele beveiligingssoftware en malwaredetectie.
- Beperk het aantal WordPress-beheerdersaccounts.
- Houd WordPress, plugins en thema’s bijgewerkt.
- Onderzoek onbekende JavaScript-code die op websitepagina’s wordt geladen.
Een beveiligingsplugin of web application firewall kan aanvullende bescherming bieden, maar is geen garantie tegen misbruik van bestaande beheerderssessies.
Wat moet u doen wanneer TRUST#GRAFT wordt aangetroffen?
Wanneer de beschreven malware wordt aangetroffen, moet de website als mogelijk gecompromitteerd worden beschouwd.
Bewaar eerst relevante bestanden, logbestanden en andere onderzoeksgegevens.
Controleer vervolgens zowel de normale plugindirectory als de must-use plugindirectory.
Verwijder niet uitsluitend de zichtbare plugin, omdat achtergebleven PHP-bestanden opnieuw toegang kunnen bieden.
Onderzoek ook hoe de schadelijke JavaScript-code oorspronkelijk in de website terecht is gekomen.
Na het veiligstellen van onderzoeksgegevens en het verwijderen van alle kwaadaardige componenten moeten beheerderswachtwoorden worden gewijzigd en bestaande sessies worden ingetrokken.
Controleer daarnaast overige beheerdersaccounts, geplande taken, websitebestanden en eventuele externe verbindingen.
Wanneer de integriteit van de installatie niet meer kan worden vastgesteld, kan herstel vanuit een aantoonbaar schone back-up noodzakelijk zijn.
WordPress-beveiliging en Managed Hosting bij Vservs
Moderne WordPress-aanvallen richten zich niet uitsluitend op bekende softwarekwetsbaarheden.
Ook bestaande beheerderssessies, onveilige website-inhoud en verborgen malware kunnen worden misbruikt.
Vservs biedt professioneel beheerde hostinginfrastructuur met monitoring, beveiligingsonderhoud en serverbeheer.
Onze Managed VPS Hosting is geschikt voor bedrijven, webbureaus en organisaties die hun hostinginfrastructuur professioneel willen laten beheren.
Voor een veilige WordPress-omgeving blijven daarnaast goed applicatiebeheer, malwarecontroles en regelmatige updates essentieel.
Volg onze Security- en Beveiligingsupdates voor informatie over nieuwe kwetsbaarheden en beveiligingsdreigingen.
Conclusie
TRUST#GRAFT WordPress laat zien hoe aanvallers bestaande beheerderssessies kunnen misbruiken om een verborgen PHP-backdoor te installeren.
De onderzochte malware gebruikt een vervalste beveiligingscontrole en een schadelijke plugin die zich voordoet als Web Media Optimizer.
Een belangrijk onderdeel van de aanval is het plaatsen van een verborgen PHP-bestand in de must-use plugindirectory.
Vservs adviseert WordPress-beheerders om plugininstallaties, actieve beheerderssessies en verdachte PHP-bestanden regelmatig te controleren.
Wanneer een infectie wordt vastgesteld, moeten alle achtergebleven malwarecomponenten worden verwijderd en moet de oorspronkelijke toegangsmethode worden onderzocht.