تیم تحلیل تهدیدات Wordfence یک نمونه بدافزار پیچیده را شناسایی کرده است که از طریق افزونه‌های Must-Use (MU) در وردپرس نصب می‌شود. این بدافزار با استفاده از مکانیسم‌های خود-ترمیم‌شونده (Self-healing) و روش‌های پیشرفته پنهان‌سازی، تلاش می‌کند تا پس از شناسایی و حذف، مجدداً فعال شود.
تکنیک Etherhiding و زیرساخت C2
یکی از ویژگی‌های برجسته این بدافزار، استفاده از تکنیک Etherhiding است. در این روش، مهاجم به جای قرار دادن آدرس‌های ثابت سرور فرماندهی (C2) در کد بدافزار، از یک Smart Contract روی شبکه بلاک‌چین اتریوم استفاده می‌کند. بدافزار در زمان اجرا، از طریق درگاه‌های RPC عمومی، آدرس‌های به‌روز سرورهای C2 و کلیدهای رمزنگاری را از بلاک‌چین دریافت می‌کند. این ساختار باعث می‌شود که مسدود کردن دامنه‌ها یا IPهای خاص توسط متخصصان امنیت عملاً بی‌اثر باشد، زیرا مهاجم می‌تواند به سادگی آدرس سرورها را در قرارداد هوشمند تغییر دهد.
روش‌های گریز از شناسایی (Defense Evasion)
- مبهم‌سازی رشته‌ها (String Obfuscation): بدافزار از یک رمزنگاری جایگزینی (Substitution Cipher) سفارشی برای پنهان کردن توابع حساس API وردپرس مانند
add_action()وget_option()استفاده می‌کند تا تحلیل‌های استاتیک دشوار شود. - پنهان‌سازی از داشبورد: این بدافزار با قلاب کردن (Hooking) فیلترهای وردپرس، نام خود را از لیست افزونه‌های MU، صفحه سلامت سایت (Site Health) و اعلان‌های به‌روزرسانی حذف می‌کند.
- مدیریت حساب‌های کاربری: بدافزار یک حساب Administrator مخفی ایجاد کرده و با تغییر کوئری‌های دیتابیس، حضور این کاربر را در لیست کاربران داشبورد و حتی در REST API پنهان می‌کند.
پایداری و انتشار (Persistence & Spreading)
این بدافزار برای بقا در سیستم از چندین لایه حفاظتی استفاده می‌کند:
- خود-ترمیم‌شوندگی: اگر فایل بدافزار حذف شود یا اندازه آن تغییر کند، یک روتین بازیابی (Restore Routine) نسخه ذخیره شده در دیتابیس را مجدداً روی دیسک می‌نویسد و با استفاده از تابع
touch()، تاریخ تغییر فایل را به عقب برمی‌گرداند تا مشکوک نشود. - انتشار افقی: بدافزار مسیرهای رایج سرورهای وب (مانند
/var/wwwو/home) را جستجو کرده و سعی می‌کند خود را در تمامی نصب‌های وردپرس موجود در یک محیط Shared Hosting تکثیر کند.
سرقت داده‌ها و هدف‌گیری زیرساخت‌های پرداخت
هدف نهایی این بدافزار استخراج داده‌های حساس است. این کد به طور خاص به دنبال کلیدهای API سرویس‌های پرداخت مانند Stripe، Braintree و Authorize.Net و همچنین اعتبارنامه‌های AWS در فایل‌های wp-config.php و .env می‌گردد. علاوه بر این، تمامی پسوردهای مدیران سایت را در حالت Plaintext سرقت کرده و اطلاعات سفارشات WooCommerce را برای مهاجم ارسال می‌کند.
