Itinampok sa isang ulat mula sa security firm na Sucuri ang isang variant ng malware sa WordPress na kilala bilang SC. Hindi ito ordinaryong Trojan: dinisenyo ito upang makaligtas sa karaniwang paglilinis at muling lumitaw kahit na maalis na ang mga nakikitang bahagi ng impeksyon. Ginagamit ng banta ang mga paulit-ulit na kopya at mga pampublikong serbisyo ng Ethereum upang mapanatili ang channel ng komunikasyon nito.
Ang kasong ito ay partikular na interesante sa mga namamahala ng mga website ng WordPress, mula sa mga personal na blog hanggang sa mga online na tindahan. Sa Espanya at sa iba pang bahagi ng Europa, maraming proyekto ang umaasa sa sistemang ito ng pamamahala ng nilalaman , kaya ang isang patuloy na impeksyon ay maaaring makaapekto sa parehong administrator at mga bisita. Ang mga detalyeng inilathala ng Sucuri at iniulat ng mga espesyal na outlet ng media ay tumutukoy sa isang problemang hindi malulutas sa pamamagitan lamang ng pagbura ng isang kahina-hinalang file.
Ano ang SC malware at bakit napakahirap itong alisin?
Ang SC ay kumikilos na parang isang self-healing system . Ang malisyosong payload nito ay maaaring lumitaw sa mga plugin, tema, database, at maging sa mga server na compatible sa WordPress. Inaangkin ng Sucuri na natukoy nila ang payload na ito sa hindi bababa sa walong magkakaibang lokasyon nang sabay-sabay, na nagpapabulaan sa ideya ng isang punto ng pagkabigo na maaaring matagpuan at maalis.
Nakakabahala ang praktikal na kahihinatnan: kung buburahin ng administrator ang isang kopya at iiwan ang isa pa na may sapat na kapasidad para gumana, maaaring muling buuin ng malware ang sarili nito at mabawi ang presensya nito. Ipinapaliwanag ng distribusyon na ito kung bakit maaaring hindi gumana ang mga tradisyonal na pamamaraan, batay sa paghahanap ng sirang file o pagputol ng isang sentral na koneksyon.
Bukod pa rito, hindi lang basta nagtatago ang SC. Kabilang sa mga kakayahan nito ay ang kakayahang i-disable ang mga security tool at panatilihin ang access sa antas ng administrator sa loob ng WordPress. Pinapahirap nito ang pagtuklas ng mga pagbabago at maaaring pahabain ang kontrol ng attacker kahit na matapos maniwala ang responsableng team na nalinis na nila ang site.
Ethereum bilang isang imprastraktura ng utos
Ang pinakakapansin-pansing aspeto ng ulat ay ang paggamit ng mga pampublikong RPC gateway ng Ethereum para sa command and control. Kasama sa SC ang isang listahan ng humigit-kumulang 20 RPC provider —mga lehitimong serbisyo na nagpapahintulot sa mga application, wallet, at iba pang software na makipag-ugnayan sa blockchain network.
Ayon sa deskripsyon, hindi nilabag ng mga umaatake ang Ethereum o nakompromiso ang protocol nito. Sa halip, ginagamit nila ang pampublikong imprastraktura upang mabigyan ang malware ng mga tagubilin. Kung mag-crash o hindi tumutugon ang isang gateway, maaaring subukan ng SC ang iba pa sa listahan nito.
Binabawasan ng kalabisan na ito ang epekto ng isang bloke lamang. Hindi dapat umasa ang depensa sa pagharang lamang sa isang partikular na address, dahil ang programa ay may ilang alternatibong ruta . Ang kombinasyon ng mga panloob na kopya at mga panlabas na koneksyon ang siyang dahilan kung bakit ang variant na ito ay isang partikular na patuloy na banta.
Pagnanakaw ng sesyon, mga iniksyon, at panganib sa pagbabayad
Isa pang kakayahang itinatampok ay ang pangongolekta ng mga token ng sesyon ng administrator . Gamit ang mga ito, maaaring mapanatili o makakuha ng pribilehiyong access ang attacker nang hindi limitado sa pagbabago ng nakikitang nilalaman. Nagbubukas ito ng pinto sa malalalim na pagbabago at nagpapahirap na mabawi ang kontrol sa isang nakompromisong account.
Maaari ring magpasok ang SC ng JavaScript sa pampublikong bahagi ng isang site. Sa isang online store, maaaring tumakbo ang code na ito habang nag-checkout at gamitin upang makuha ang data ng card o payment gateway. Hindi tinukoy ng magagamit na impormasyon kung ilang site o transaksyon ang naapektuhan.
Bago kumilos, nangangalap ang malware ng teknikal na impormasyon sa pamamagitan ng fingerprinting : mga URL at hostname, bersyon ng WordPress, mga bersyon ng naka-install na plugin, at iba pang data na tumutulong dito na maunawaan ang configuration ng target. Mas maraming alam ang mga umaatake tungkol sa kapaligiran, mas madali para sa kanila na iayon ang kanilang mga susunod na hakbang.
Ano ang ibig sabihin nito para sa mga website sa Espanya at Europa?
Bagama't hindi nagbibigay ang ulat ng mga datos na partikular sa bawat bansa, ang anumang pag-install ng WordPress sa Espanya o Europa ay maaaring maging target kung gumagamit ito ng mga lumang plugin o may mahinang pahintulot. Ang katangiang cross-border ng mga pag-atakeng ito ay nangangahulugan na ang lokasyong heograpikal lamang ay hindi isang hadlang.
Dapat suriin ng mga administrador ng website ang mga backup , log, at binagong file, ngunit tandaan na maaaring hindi sapat ang bahagyang paglilinis. Maipapayo rin na suriin ang mga aktibong sesyon, mga user ng administrator, at anumang hindi pangkaraniwang code sa mga template o extension.
Sa e-commerce, ang panganib sa mga pagbabayad ay nagdaragdag ng karagdagang presyon. Kung ang malware ay may access at maaaring magpasok ng mga script, ang tiwala ng user ay nakompromiso. Hindi lamang ito tungkol sa pagbawi ng website, kundi pati na rin sa pagpigil sa data ng customer na mahulog sa maling mga kamay.
Nililinaw ng alerto ng Sucuri ang isang bagay: Ang SC ay hindi isang problemang malulutas sa pamamagitan lamang ng isang paglilinis. Ang kakayahang mag- replicate sa maraming bahagi , ang paggamit nito ng mga Ethereum RPC gateway, at ang kakayahang magnakaw ng mga sesyon o magpasok ng code ay ginagawa itong isang mahirap na banta na lipulin. Para sa mga administrador, ang prayoridad ay ang lubusang pagsusuri sa buong kapaligiran ng WordPress, panatilihing napapanahon ang mga update, at maunawaan na ang isang impeksyon ng ganitong uri ay nangangailangan ng mas malawak na tugon kaysa sa simpleng pagtanggal ng isang file.
