Доклад от фирмата за сигурност Sucuri откроява вариант на зловреден софтуер за WordPress, известен като SC. Това не е обикновен троянски кон: той е проектиран да оцелее след конвенционално почистване и да се появи отново дори след премахване на видими части от инфекцията. Заплахата използва излишни копия и публични услуги на Ethereum, за да поддържа комуникационния си канал.
Този случай е от особен интерес за тези, които управляват уебсайтове на WordPress, от лични блогове до онлайн магазини. В Испания и останалата част на Европа много проекти разчитат на тази система за управление на съдържанието , така че постоянната инфекция може да засегне както администратора, така и посетителите. Подробностите, публикувани от Sucuri и докладвани от специализирани медии, сочат проблем, който не може да бъде решен само с изтриване на един подозрителен файл.
Какво е злонамерен софтуер от SC и защо е толкова трудно да се премахне?
SC се държи като самовъзстановяваща се система . Злонамереният му полезен товар може да се появи в плъгини, теми, базата данни и дори в съвместими с WordPress сървъри. Sucuri твърди, че е открила този полезен товар на поне осем различни места едновременно, което опровергава идеята за единна точка на повреда, която може да бъде локализирана и отстранена.
Практическата последица е обезпокоителна: ако администраторът изтрие едно копие и остави друго с достатъчен капацитет за работа, зловредният софтуер може да се възстанови и да си възвърне присъствието. Това разпространение обяснява защо традиционните методи, базирани на търсене на повреден файл или прекъсване на централна връзка, могат да се окажат недостатъчни.
Освен това, SC не просто се крие. Сред възможностите му е възможността да деактивира инструментите за сигурност и да запази достъп на администраторско ниво в WordPress. Това усложнява откриването на промени и може да удължи контрола на нападателя, дори след като отговорният екип смята, че е почистил сайта.
Етериум като командна инфраструктура
Най-впечатляващият аспект на доклада е използването на публичните RPC шлюзове на Ethereum за командване и контрол. SC включва списък с около 20 RPC доставчици – легитимни услуги, които позволяват на приложения, портфейли и друг софтуер да взаимодействат с блокчейн мрежата.
Според описанието, атакуващите не са нарушили Ethereum, нито са компрометирали протокола му. Вместо това те използват публично достъпна инфраструктура , за да предоставят инструкции на зловредния софтуер. Ако един шлюз се срине или спре да отговаря, SC може да опита други от списъка си.
Тази излишна сигурност намалява въздействието на един единствен блок. Защитата не трябва да разчита единствено на блокиране на конкретен адрес, тъй като програмата има няколко алтернативни маршрута . Комбинацията от вътрешни копия и външни връзки е това, което прави този вариант особено устойчива заплаха.
Кражба на сесия, инжекции и риск от плащане
Друга подчертана възможност е събирането на токени за администраторска сесия . С тяхна помощ нападателят може да поддържа или получава привилегирован достъп, без да е ограничен до промяна на видимо съдържание. Това отваря вратата за дълбоки промени и затруднява възстановяването на контрола върху компрометиран акаунт.
SC може също да инжектира JavaScript в публичната част на сайта. В онлайн магазин този код може да се изпълнява по време на процеса на плащане и да се използва за събиране на данни от карта или платежен шлюз. Наличната информация не уточнява колко сайта или транзакции са били засегнати.
Преди да действа, зловредният софтуер събира техническа информация чрез пръстови отпечатъци : URL адреси и имена на хостове, версия на WordPress, версии на инсталирани плъгини и други данни, които му помагат да разбере конфигурацията на целта. Колкото повече нападателите знаят за средата, толкова по-лесно е за тях да адаптират следващите си ходове.
Какво означава това за уебсайтове в Испания и Европа?
Въпреки че докладът не предоставя данни за отделните държави, всяка инсталация на WordPress в Испания или Европа може да бъде мишена, ако използва остарели плъгини или има слаби разрешения. Трансграничният характер на тези атаки означава, че само географското местоположение не е пречка.
Администраторите на уебсайтове трябва да преглеждат резервните копия , лог файловете и модифицираните файлове, но имат предвид, че частичното почистване може да не е достатъчно. Препоръчително е също да проверят активните сесии, администраторските потребители и всеки необичаен код в шаблони или разширения.
В електронната търговия рискът за плащанията добавя допълнителен натиск. Ако злонамерен софтуер запази достъп и може да инжектира скриптове, доверието на потребителите е компрометирано. Не става въпрос само за възстановяване на уебсайта, а за предотвратяване на попадането на клиентски данни в грешни ръце.
Предупреждението на Sucuri ясно показва едно нещо: SC не е проблем, който може да бъде решен с еднократно почистване. Способността му да се репликира в множество компоненти , използването на Ethereum RPC шлюзове и възможностите му за кражба на сесии или инжектиране на код го правят трудна за премахване заплаха. За администраторите приоритетът е да прегледат щателно цялата WordPress среда, да поддържат актуални актуализации и да разберат, че инфекция от този тип изисква по-широк отговор от просто изтриване на един файл.
