پژوهشگران امنیتی LevelBlue ابزاری به نام TIKTOUK را شناسایی کرده‌اند که با هدف شکار فایل‌های حساس و بک‌آپ‌های فراموش‌شده در وب‌سایت‌های وردپرس (WordPress) طراحی شده است. این ابزار نه تنها به دنبال دسترسی به پایگاه داده‌هاست، بلکه با استخراج کلیدهای دسترسی ابری و رمزهای عبور ایمیل، سطح دسترسی مهاجمان را به زیرساخت‌های حیاتی سازمان‌ها گسترش می‌دهد.
مکانیزم عملکرد ابزار TIKTOUK
این تول‌کیت از سه جزء اصلی تشکیل شده است که توسط یک سرویس مرکزی HTTP هماهنگ می‌شوند:
- جزء شناسایی (Probing): با استفاده از زبان Python، سایت‌های وردپرسی را شناسایی کرده و با ارسال درخواست‌های REST Batch (ترکیبی از عملیات DELETE و رندرینگ پاراگراف) با URLهای تغییریافته، نقاط ضعف را بررسی می‌کند.
- جزء جمع‌آوری (Collection): این بخش به دنبال فایل‌های بک‌آپ پیکربندی مانند
wp-config.php.bak، فایل‌های.env، تنظیمات گیت (.git/config) و لاگ‌های دیباگ است تا اعتبارنامه‌های دیتابیس و کلیدهای امنیتی را استخراج کند. - اسکنر JavaScript: یک کراولر لینوکسی نوشته شده با زبان Go که اسکریپت‌های سمت کاربر را برای یافتن الگوهای مرتبط با سرویس‌هایی نظیر SendGrid، Anthropic، Bedrock و AWS اسکن می‌کند.
تبدیل کلیدهای ابری به دسترسی‌های ایمیل
یکی از قابلیت‌های خطرناک این ابزار، توانایی رمزگشایی تنظیمات افزونه‌های SMTP (مانند WP Mail SMTP و FluentSMTP) است. TIKTOUK با به‌دست آوردن کلیدهای رمزنگاری از فایل‌های پیکربندی وردپرس، می‌تواند رمزهای عبور متنی (Plaintext) را بازیابی کند. همچنین این ابزار قادر است از یک Secret مربوط به AWS، رمز عبور سرویس ایمیل Amazon SES را استخراج کرده و دسترسی مهاجم را از یک وب‌سایت ساده به سرویس‌های ارسال ایمیل سازمانی گسترش دهد.
تاثیرات و دامنه تهدید
در بررسی یک پنل کنترل لو رفته مربوط به این عملیات، حدود ۵۰,۰۰۰ اعتبارنامه سرور در ۳۷,۰۰۰ دامنه مشاهده شد که شامل صدها کلید فعال AWS بود. این کلیدها پتانسیل سوءاستفاده در منابع محاسباتی (Computing Resources)، سرویس‌های هوش مصنوعی (AI Services) و سیستم‌های ارسال ایمیل را دارند.
راهکارهای دفاعی و شناسایی
مدیران SOC و مهندسان امنیت باید بر موارد زیر نظارت داشته باشند:
- بررسی درخواست‌های غیرمعمول Batch در مسیرهای
/wp/v2/categories/0و/wp/v2/block-renderer/core/paragraph. - مانیتورینگ دسترسی‌های غیرمجاز به فایل‌های حساس مانند
backup.sqlو.env. - تحلیل تغییرات در Encoding درخواست‌های HTTP که ممکن است نشان‌دهنده تلاش برای دور زدن محدودیت‌ها باشد.
این حملات با آسیب‌پذیری‌های CVE-2026-60137 و CVE-2026-63030 مرتبط دانسته شده‌اند و نسخه‌های وردپرس پیش از 6.9.5 و 7.0.2 در معرض خطر قرار دارند.
