یک سویه‌ی جدید از بدافزار وردپرس (WordPress) شناسایی شده است که برای حفظ حضور خود در وب‌سایت‌های آلوده، از پلاگین‌های مخفی، دسترسی‌های سرقتی مدیر (Administrator) و یک کانال فرماندهی و کنترل (C2) مبتنی بر بلاک‌چین استفاده می‌کند. این تهدید به‌گونه‌ای طراحی شده است که در برابر تلاش‌های معمول برای پاک‌سازی مقاومت کرده و به‌طور مخفیانه داده‌های حساس را از سرورهای هدف جمع‌آوری کند.
مکانیسم پنهان‌سازی و تداوم حضور
این بدافزار خود را به عنوان یک Must-Use Plugin نصب می‌کند؛ نوعی از اجزای وردپرس که با هر درخواست به‌طور خودکار بارگذاری شده و در صفحه معمولی پلاگین‌ها نمایش داده نمی‌شود. این استراتژی به عامل تهدید اجازه می‌دهد تا جای پایی (Foothold) پایدار ایجاد کرده و کد مخرب را از دید مدیران سایت پنهان کند.
- استتار: بدافزار خود را در مسیر
wp-content/mu-pluginsمخفی کرده و حتی از بخش Site Health و اعلان‌های به‌روزرسانی نیز حذف می‌شود. - تکنیک‌های ضد تشخیص: برای دور زدن ابزارهای امنیتی، از یک سیستم جایگزینی رشته (String-substitution) سفارشی استفاده می‌کند تا نام‌های Hook، مسیرهای فایل و دستورات SQL تا لحظه اجرا مخفی بمانند.
- خود-ترمیم‌سازی: در صورت حذف فایل بدافزار، یک مکانیزم خود-ترمیم با استفاده از نسخه‌ای پشتیبان در دیتابیس وردپرس، فایل را مجدداً بازسازی کرده و زمان تغییر (Modification time) آن را تغییر می‌دهد تا شناسایی نشود.
کنترل و فرماندهی از طریق بلاک‌چین (Blockchain C2)
یکی از پیشرفته‌ترین ویژگی‌های این بدافزار، استفاده از تکنیکی به نام EtherHiding است. در این روش، جزئیات سرور C2 در قراردادهای هوشمند (Smart Contracts) شبکه اتریوم ذخیره می‌شوند.
به جای استفاده از یک دامنه یا IP ثابت که به‌سرعت توسط سیستم‌های دفاعی مسدود شود، بدافزار در زمان اجرا داده‌ها را از بلاک‌چین استعلام کرده و لیست سرورهای HTTP تحت کنترل مهاجم را رمزگشایی می‌کند. این رویکرد باعث می‌شود مسدود کردن یک دامنه واحد برای متوقف کردن عملیات کافی نباشد.
تاثیرات و اهداف نهایی
پس از برقراری ارتباط، بدافزار گزارشی رمزگذاری شده شامل جزئیات سایت، اطلاعات مدیران، کلیدهای API و داده‌های سفارشات مشتریان را ارسال می‌کند. مهاجمان می‌توانند از این دسترسی برای موارد زیر استفاده کنند:
- سرقت اطلاعات پرداخت (Payment Skimming)
- تزریق کدهای JavaScript به مرورگر بازدیدکنندگان
- حذف پلاگین‌های امنیتی و گسترش آلودگی به سایر سایت‌های موجود روی یک سرور مشترک (Cross-site contamination)
- ایجاد حساب‌های مدیر جعلی با پیشوندهایی مانند
admin_یاbackup_
