Malware Di Plugin GravityForms Resmi

Malware ditemukan pada plugin GravityForms versi 2.9.12 dan sebelumnya via fungsi backdoor update_entry_detail.

Backdoor mengirim data situs ke domain baru gravityapi.org yang terdaftar pada 8 Juli 2025.

Respons server berisi kode base64 yang dieksekusi menggunakan eval, memungkinkan eksekusi kode jarak jauh.

Fungsi list_sections di notification.php dengan token khusus memberikan akses membuat admin, mengunggah file, evaluasi kode, dan listing direktori.

GravityForms merilis patch versi 2.9.13 dan Namecheap menangguhkan domain gravityapi.org untuk menutup celah.

Indikator kompromi meliputi IP 185.193.89.19, 193.160.101.6, gravityapi.org, serta file common.php dan class-settings.php.