یک ابزار جمع‌آوری اعتبارنامه (Credential Collection) با نام TIKTOUK شناسایی شده است که ترکیبی از شناسایی (Reconnaissance) سایت‌های وردپرسی، استخراج فایل‌های اکسپوز شده، رمزگشایی اعتبارنامه‌های افزونه‌ها و اسکن اسرار (Secrets) در کدهای JavaScript است.
ساختار و اجزای ابزار
این تولکیت از دو اسکریپت پایتون به نام‌های wp2s_poll.py و wp2s_crack.py در کنار یک کراولر لینوکسی نوشته شده با زبان Go به نام jscrawl-amd64 تشکیل شده است. هر سه جزء، اهداف خود را از یک مرکز HTTP دریافت کرده و داده‌های استخراج شده را به نقاط انتهایی (Endpoints) اختصاصی ارسال می‌کنند.
مکانیزم شناسایی و استخراج
- شناسایی اولیه: اسکریپت
wp2s_poll.pyبا بررسی رفتار REST API و ارسال درخواست‌های دسته‌ای (Batch Requests) با فرمت‌های خاص، استقرار وردپرس را شناسایی می‌کند. - استخراج فایل‌های حساس: اسکریپت
wp2s_crack.pyتلاش می‌کند فایل‌های حساس مانندwp-config.php.bak،.env،.git/configوdebug.logرا بازیابی کند. این فایل‌ها در صورت پیکربندی نادرست دسترسی‌های سرور، می‌توانند رمزهای عبور دیتابیس و کلیدهای رمزنگاری وردپرس را لو دهند. - رمزگشایی اعتبارنامه‌ها: یکی از قابلیت‌های کلیدی TIKTOUK، استفاده از اطلاعات فایل پیکربندی وردپرس برای رمزگشایی تنظیمات افزونه‌های ایمیل است. این ابزار با دسترسی به کلیدهای رمزنگاری موجود در فایل‌های لو رفته، می‌تواند اعتبارنامه‌های افزونه‌های WP Mail SMTP، Easy WP SMTP و FluentSMTP را به متن ساده (Plaintext) تبدیل کند.
هدف‌گیری سرویس‌های ابری و API
این ابزار قادر است رمز عبور SMTP سرویس Amazon SES را از طریق AWS Secret Access Key استخراج کند. همچنین کراولر jscrawl-amd64 با اسکن منابع JavaScript در سمت کلاینت، به دنبال توکن‌ها و کلیدهای سرویس‌هایی نظیر SendGrid، Anthropic و Amazon Bedrock می‌گردد.
ارتباط با آسیب‌پذیری‌های اخیر
رفتار این ابزار با زنجیره آسیب‌پذیری‌های اخیر وردپرس موسوم به wp2shell همپوشانی دارد. این زنجیره شامل CVE-2026-60137 (مربوط به SQL Injection) و CVE-2026-63030 (مربوط به Route Confusion در REST API) است که در کنار هم می‌توانند منجر به اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت شوند.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: ارتقای وردپرس به نسخه‌های 6.8.6، 6.9.5 یا 7.0.2.
- محدودسازی دسترسی: مسدود کردن دسترسی ناشناس به مسیرهای
/wp-json/batch/v1و?rest_route=/batch/v1در سطح WAF یا Reverse Proxy. - پایش ترافیک: بررسی درخواست‌های REST Batch که حاوی عبارت
http://:یا عبارت‌هایUNION ALL SELECTهستند. - پاک‌سازی فایل‌ها: حذف تمامی فایل‌های بک‌آپ، فایل‌های محیطی (.env) و فایل‌های Git از مسیرهای قابل دسترس وب.
