تحلیل‌های اخیر از یک بدافزار پیچیده در محیط WordPress پرده برداشته است که با ترکیب تکنیک‌های پایداری (Persistence) پیشرفته، سرقت اعتبارنامه‌ها و استفاده از شبکه اتریوم، یک Backdoor بسیار مقاوم ایجاد می‌کند.
مکانیزم پایداری و استتار
این بدافزار خود را به عنوان یک پلاگین بررسی سلامت (Health-check) معرفی می‌کند و در دایرکتوری wp-content/mu-plugins قرار می‌گیرد. از آنجایی که پلاگین‌های Must-Use (MU) به صورت خودکار با هر درخواست بارگذاری شده و از طریق پنل مدیریت وردپرس قابل غیرفعال‌سازی نیستند، مهاجمان از این ویژگی برای تضمین بقای بدافزار استفاده می‌کنند.
- تنوع در نام‌گذاری: این بدافزار از بیش از ۴۰۰۰ نام فایل مختلف، از جمله نام‌های مشابه فایل‌های سیستمی مانند
db.phpوadvanced-cache.phpاستفاده می‌کند. - رمزنگاری سفارشی: به جای متدهای رایج مانند
eval(base64_decode())، از یک رمزگشای رشته‌ای (String Decoder) سفارشی برای پنهان کردن Hookها و مسیرهای حساس استفاده می‌کند. - دستکاری رابط کاربری: بدافزار با تغییر فیلترهای وردپرس، خود را از دید مدیر سایت در بخش پلاگین‌ها و گزارش‌های Site Health پنهان می‌کند.
مدیریت حساب‌های کاربری و خود-ترمیم‌سازی
این بدافزار برای دسترسی دائمی، حساب‌های مدیر (Administrator) جدیدی با پیشونده‌هایی نظیر admin_ یا backup_ ایجاد می‌کند. در صورتی که حسابی از پیش وجود داشته باشد، رمز عبور آن را تغییر داده و سپس این حساب‌های مخرب را از لیست کاربران در داشبورد و REST API حذف می‌کند تا شناسایی نشوند.
یکی از ویژگی‌های تکان‌دهنده این بدافزار، قابلیت خود-ترمیم‌سازی است؛ کد منبع بدافزار در دیتابیس وردپرس ذخیره می‌شود و در صورت حذف فایل فیزیکی یا تغییر اندازه آن، بدافزار مجدداً خود را از دیتابیس بازیابی کرده و دسترسی‌های Read-only را اعمال می‌کند.
سرقت داده‌ها و انتشار عرضی
بدافزار با Hook کردن فرآیند احراز هویت وردپرس، رمزهای عبور Plaintext مدیران را سرقت می‌کند. همچنین اطلاعات حساس زیر را هدف قرار می‌دهد:
- داده‌های سفارشات WooCommerce
- کلیدهای API سرویس‌های Stripe، Braintree و AWS
- فایل‌های حساس مانند
.envوwp-config.php
در محیط‌های Shared Hosting، این بدافزار به دنبال سایر نصب‌های وردپرس در وب‌روت می‌گردد تا از طریق انتشار عرضی (Lateral Movement)، تعداد سایت‌های آلوده را افزایش دهد.
ارتباط با C2 از طریق EtherHiding
نوآورانه‌ترین بخش این بدافزار، استفاده از تکنیک EtherHiding است. به جای استفاده از دامین‌ها یا IPهای استاتیک برای Command and Control (C2)، بدافزار از طریق گیت‌وی‌های عمومی JSON-RPC، قراردادهای هوشمند (Smart Contracts) اتریوم را کوئری می‌زند تا لیست سرورهای فعال و کلیدهای رمزنگاری را دریافت کند. این روش باعث می‌شود مسدود کردن C2 توسط تیم‌های SOC بسیار دشوار شود، زیرا مهاجم می‌تواند به راحتی آدرس سرورها را در قرارداد هوشمند به‌روزرسانی کند.
توصیه‌های امنیتی
به مدیران سیستم و متخصصان امنیت توصیه می‌شود:
- دایرکتوری
wp-content/mu-pluginsرا به دقت بررسی کنند. - علاوه بر داشبورد، ورودی‌های دیتابیس را مستقیماً Audit نمایند.
- تمامی حساب‌های Administrator را بازبینی و اعتبارنامه‌های سرویس‌های پرداخت و ابری را تغییر دهند.
- به جای حذف تک‌فایل‌ها، از بازسازی کامل سایت (Clean Rebuild) با استفاده از بک‌آپ‌های معتبر استفاده کنند.
