Извештај безбедносне фирме Sucuri истакао је варијанту WordPress малвера познату као SC. Ово није обичан тројански софтвер: дизајниран је да преживи конвенционално чишћење и поново се појави чак и након што се уклоне видљиви делови инфекције. Претња користи сувишне копије и јавне сервисе Ethereum-а како би одржала свој комуникациони канал.
Овај случај је од посебног интереса за оне који управљају WordPress веб-сајтовима, од личних блогова до онлајн продавница. У Шпанији и остатку Европе, многи пројекти се ослањају на овај систем за управљање садржајем , тако да упорна инфекција може на крају утицати и на администратора и на посетиоце. Детаљи које је објавио Sucuri, а које су известиле специјализоване медијске куће, указују на проблем који се не може решити једноставним брисањем једне сумњиве датотеке.
Шта је SC малвер и зашто га је тако тешко уклонити?
СЦ се понаша као систем који се сам обнавља . Његов злонамерни терет може се појавити у додацима, темама, бази података, па чак и на серверима компатибилним са Вордпресом. Сукури тврди да је открио овај терет на најмање осам различитих локација истовремено, што оповргава идеју о једној тачки квара која се може лоцирати и уклонити.
Практична последица је забрињавајућа: ако администратор обрише једну копију, а другу остави са довољним капацитетом за рад, злонамерни софтвер може поново да се изгради и поврати своје присуство. Ова дистрибуција објашњава зашто традиционалне методе, засноване на претраживању оштећене датотеке или прекидању централне везе, могу бити неуспешне.
Штавише, SC се не само крије. Међу његовим могућностима је и могућност онемогућавања безбедносних алата и задржавања администраторског приступа унутар WordPress-а. Ово компликује откривање промена и може продужити контролу нападача чак и након што одговорни тим верује да је очистио сајт.
Етереум као командна инфраструктура
Најупечатљивији аспект извештаја је коришћење јавних RPC пролаза компаније Етереум за командовање и контролу. SC укључује листу од око 20 RPC провајдера — легитимних сервиса који омогућавају апликацијама, новчаницима и другом софтверу да интерагују са блокчејн мрежом.
Нападачи нису пробили Етеријум нити угрозили његов протокол, према опису. Уместо тога, они користе јавно доступну инфраструктуру како би малверу пружили инструкције. Ако се један гејтвеј сруши или престане да реагује, СЦ може да покуша са другима са своје листе.
Ова редундантност смањује утицај једног блока. Одбрана не би требало да се ослања искључиво на блокирање одређене адресе, јер програм има неколико алтернативних рута . Комбинација интерних копија и екстерних веза је оно што ову варијанту чини посебно упорном претњом.
Крађа сесије, инјекције и ризик плаћања
Још једна истакнута могућност је прикупљање токена администраторске сесије . Помоћу њих, нападач може да одржи или добије привилегован приступ без ограничења на модификовање видљивог садржаја. Ово отвара врата дубоким променама и отежава повратак контроле над угроженим налогом.
СЦ такође може да убризга Јаваскрипт у јавно доступан део сајта. У онлајн продавници, овај код би могао да се покреће током процеса плаћања и да се користи за снимање података о картици или платном систему. Доступне информације не прецизирају колико је сајтова или трансакција погођено.
Пре него што делује, злонамерни софтвер прикупља техничке информације путем отиска прста : URL-ове и имена хостова, верзију WordPress-а, верзије инсталираних додатака и друге податке који му помажу да разуме конфигурацију мете. Што више нападачи знају о окружењу, лакше им је да прилагоде своје следеће потезе.
Шта ово значи за веб странице у Шпанији и Европи?
Иако извештај не пружа податке специфичне за земљу, свака WordPress инсталација у Шпанији или Европи може бити мета ако користи застареле додатке или има слабе дозволе. Прекогранична природа ових напада значи да сама географска локација није препрека.
Администратори веб-сајтова треба да прегледају резервне копије , логове и измењене датотеке, али имају на уму да делимично чишћење можда неће бити довољно. Такође је препоручљиво проверити активне сесије, администраторске кориснике и сваки необичан код у шаблонима или екстензијама.
У електронској трговини, ризик за плаћања додатно повећава притисак. Ако злонамерни софтвер задржи приступ и може да убризгава скрипте, поверење корисника је угрожено. Не ради се само о опоравку веб странице, већ о спречавању да подаци о купцима падну у погрешне руке.
Сукуријево упозорење јасно ставља до знања једну ствар: SC није проблем који се може решити једним чишћењем. Његова способност репликације на више компоненти , коришћење Ethereum RPC gateway-а и могућности крађе сесија или убризгавања кода чине га тешком претњом за искорењивање. За администраторе је приоритет да темељно прегледају целокупно WordPress окружење, одржавају ажурирања ажурним и схвате да инфекција ове врсте захтева шири одговор од пуког брисања једне датотеке.
