کابوس وردپرس؛ بدافزار خودترمیم‌شونده‌ای که پاکسازی نمی‌شود

محققان امنیتی به تازگی از یک بدافزار پیچیده و بسیار مقاوم در سیستم‌های مدیریت محتوای وردپرس پرده برداشته‌اند که با نام «SC» شناخته می‌شود. ویژگی متمایز این بدافزار، ساختار «خودترمیم‌شونده» آن است که عملاً پاکسازی سایت‌های آلوده را برای مدیران وب‌سایت‌ها به کابوسی واقعی تبدیل می‌کند. برخلاف حملات سنتی که در یک فایل خاص پنهان می‌شوند، این بدافزار با توزیع کدهای مخرب خود در هشت نقطه مختلف از جمله فایل‌های سیستمی، پایگاه داده و حتی حافظه اشتراکی سرور (Shared Memory)، شبکه‌ای درهم‌تنیده ایجاد کرده است که در آن هر بخش می‌تواند بخش‌های دیگر را در صورت حذف شدن، دوباره بازسازی کند.

این بدافزار از تکنیک‌های پیشرفته‌ای برای پایداری استفاده می‌کند؛ به طوری که حتی اگر مدیر سایت تمامی فایل‌های مشکوک را پاک کند، با اولین بارگذاری مجدد صفحه، کدهای مخرب از طریق دیتابیس یا حافظه رم دوباره در سیستم مستقر می‌شوند. علاوه بر این، مهاجمان برای مخفی ماندن از دید ابزارهای امنیتی، از بلاک‌چین اتریوم برای برقراری ارتباط با سرورهای فرماندهی و کنترل (C2) خود بهره می‌برند. این رویکرد باعث می‌شود که شناسایی ترافیک مخرب برای فایروال‌ها و سیستم‌های نظارتی بسیار دشوار باشد، چرا که دستورات در بستری غیرمتمرکز و قانونی جابه‌جا می‌شوند.

پیامدهای این نوع آلودگی برای صاحبان سایت‌های وردپرسی بسیار جدی است. مهاجمان با در اختیار گرفتن کنترل کامل سایت، می‌توانند حساب‌های کاربری مدیر ایجاد کنند، کدهای مخرب جاوااسکریپت را برای سرقت اطلاعات کاربران تزریق کنند و یا افزونه‌های امنیتی را از کار بیندازند. کارشناسان امنیتی هشدار می‌دهند که این بدافزار نشان‌دهنده تغییر استراتژی مهاجمان از «فایل‌محور» به «سیستم‌محور» است. با توجه به اینکه روش ورود اولیه این بدافزار هنوز به طور دقیق مشخص نیست، توصیه می‌شود مدیران سایت‌ها با به‌روزرسانی مداوم افزونه‌ها و استفاده از رمزهای عبور قوی، از ورود اولیه مهاجمان به هسته سایت جلوگیری کنند، چرا که پس از آلودگی، مقابله با چنین ساختار خودترمیم‌شونده‌ای نیازمند دانش فنی بسیار بالا و پاکسازی عمیق در تمامی لایه‌های سرور است.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید