Un raport al firmei de securitate Sucuri a evidențiat o variantă de malware pentru WordPress, cunoscută sub numele de SC. Acesta nu este un troian obișnuit: este conceput să supraviețuiască curățării convenționale și să reapară chiar și după ce părțile vizibile ale infecției sunt eliminate. Amenințarea utilizează copii redundante și servicii publice Ethereum pentru a-și menține canalul de comunicare.
Acest caz prezintă un interes deosebit pentru cei care administrează site-uri web WordPress, de la bloguri personale la magazine online. În Spania și în restul Europei, multe proiecte se bazează pe acest sistem de gestionare a conținutului , astfel încât o infecție persistentă poate ajunge să afecteze atât administratorul, cât și vizitatorii. Detaliile publicate de Sucuri și raportate de instituțiile media specializate indică o problemă care nu poate fi rezolvată prin simpla ștergere a unui singur fișier suspect.
Ce este malware-ul SC și de ce este atât de dificil de eliminat?
SC se comportă ca un sistem auto-reparator . Sarcina sa utilă malițioasă poate apărea în plugin-uri, teme, baza de date și chiar pe servere compatibile cu WordPress. Sucuri susține că a detectat această sarcină utilă în cel puțin opt locații diferite simultan, ceea ce infirmă ideea unui singur punct de defecțiune care poate fi localizat și eliminat.
Consecința practică este îngrijorătoare: dacă administratorul șterge o copie și lasă o alta cu o capacitate suficientă de funcționare, malware-ul se poate reconstrui și își poate recăpăta prezența. Această distribuție explică de ce metodele tradiționale, bazate pe căutarea unui fișier corupt sau întreruperea unei conexiuni centrale, pot fi insuficiente.
În plus, SC nu se ascunde pur și simplu. Printre capacitățile sale se numără și posibilitatea de a dezactiva instrumentele de securitate și de a păstra accesul la nivel de administrator în cadrul WordPress. Acest lucru complică detectarea modificărilor și poate prelungi controlul atacatorului chiar și după ce echipa responsabilă consideră că a curățat site-ul.
Ethereum ca infrastructură de comandă
Cel mai frapant aspect al raportului este utilizarea gateway-urilor publice RPC ale Ethereum pentru comandă și control. SC include o listă de aproximativ 20 de furnizori RPC - servicii legitime care permit aplicațiilor, portofelelor și altor programe software să interacționeze cu rețeaua blockchain.
Conform descrierii, atacatorii nu au încălcat Ethereum și nici nu i-au compromis protocolul. În schimb, au exploatat infrastructura disponibilă publicului pentru a oferi instrucțiuni malware-ului. Dacă un gateway se blochează sau nu răspunde, SC poate încerca alte gateway-uri de pe lista sa.
Această redundanță reduce impactul unui singur bloc. Apărarea nu ar trebui să se bazeze exclusiv pe blocarea unei adrese specifice, deoarece programul are mai multe rute alternative . Combinația de copii interne și conexiuni externe este ceea ce face ca această variantă să fie o amenințare deosebit de persistentă.
Furtul de sesiune, injecțiile și riscul de plată
O altă capacitate evidențiată este colectarea de token-uri de sesiune de administrator . Cu ajutorul acestora, atacatorul poate menține sau obține acces privilegiat fără a se limita la modificarea conținutului vizibil. Acest lucru deschide calea către modificări profunde și îngreunează recâștigarea controlului asupra unui cont compromis.
SC poate injecta, de asemenea, cod JavaScript în partea publică a unui site. Într-un magazin online, acest cod ar putea rula în timpul procesului de finalizare a comenzii și ar putea fi utilizat pentru a captura date despre carduri sau gateway-uri de plată. Informațiile disponibile nu specifică câte site-uri sau tranzacții au fost afectate.
Înainte de a acționa, malware-ul colectează informații tehnice prin amprentare : adrese URL și nume de gazdă, versiunea WordPress, versiunile pluginurilor instalate și alte date care îl ajută să înțeleagă configurația țintei. Cu cât atacatorii știu mai multe despre mediu, cu atât le este mai ușor să își adapteze următoarele mișcări.
Ce înseamnă asta pentru site-urile web din Spania și Europa?
Deși raportul nu oferă cifre specifice fiecărei țări, orice instalare WordPress în Spania sau Europa poate fi o țintă dacă folosește pluginuri învechite sau are permisiuni slabe. Natura transfrontalieră a acestor atacuri înseamnă că locația geografică în sine nu reprezintă o barieră.
Administratorii site-urilor web ar trebui să verifice copiile de rezervă , jurnalele și fișierele modificate, dar să fie conștienți că o curățare parțială s-ar putea să nu fie suficientă. De asemenea, este recomandabil să verificați sesiunile active, utilizatorii administratori și orice cod neobișnuit din șabloane sau extensii.
În comerțul electronic, riscul la adresa plăților adaugă o presiune suplimentară. Dacă programele malware păstrează accesul și pot injecta scripturi, încrederea utilizatorilor este compromisă. Nu este vorba doar de recuperarea site-ului web, ci de prevenirea ca datele clienților să ajungă pe mâini greșite.
Alerta Sucuri clarifică un lucru: SC nu este o problemă care poate fi rezolvată printr-o singură curățare. Capacitatea sa de a se replica pe mai multe componente , utilizarea gateway-urilor RPC Ethereum și capacitățile sale de a fura sesiuni sau de a injecta cod o fac o amenințare dificil de eradicat. Pentru administratori, prioritatea este să revizuiască temeinic întregul mediu WordPress, să mențină actualizările la zi și să înțeleagă că o infecție de acest tip necesită un răspuns mai amplu decât simpla ștergere a unui singur fișier.
