Izvješće sigurnosne tvrtke Sucuri istaknulo je varijantu zlonamjernog softvera za WordPress poznatu kao SC. Ovo nije običan trojanac: dizajniran je da preživi konvencionalno čišćenje i ponovno se pojavi čak i nakon što se uklone vidljivi dijelovi infekcije. Prijetnja koristi redundantne kopije i javne usluge Ethereuma kako bi održala svoj komunikacijski kanal.
Ovaj slučaj je od posebnog interesa za one koji upravljaju WordPress web stranicama, od osobnih blogova do online trgovina. U Španjolskoj i ostatku Europe mnogi projekti oslanjaju se na ovaj sustav za upravljanje sadržajem , tako da uporna infekcija može utjecati i na administratora i na posjetitelje. Detalji koje je objavio Sucuri, a o kojima su izvijestili specijalizirani mediji, ukazuju na problem koji se ne može riješiti jednostavnim brisanjem jedne sumnjive datoteke.
Što je SC zlonamjerni softver i zašto ga je tako teško ukloniti?
SC se ponaša kao sustav koji se sam obnavlja . Njegov zlonamjerni teret može se pojaviti u dodacima, temama, bazi podataka, pa čak i na poslužiteljima kompatibilnim s WordPressom. Sucuri tvrdi da je ovaj teret otkrio na najmanje osam različitih lokacija istovremeno, što opovrgava ideju o jednoj točki kvara koja se može locirati i ukloniti.
Praktična posljedica je zabrinjavajuća: ako administrator izbriše jednu kopiju i ostavi drugu s dovoljnim kapacitetom za rad, zlonamjerni softver se može obnoviti i ponovno zauzeti svoje mjesto. Ova distribucija objašnjava zašto tradicionalne metode, temeljene na pretraživanju oštećene datoteke ili prekidanju središnje veze, mogu biti nedostatne.
Nadalje, SC se ne skriva samo tako. Među njegovim mogućnostima je i mogućnost onemogućavanja sigurnosnih alata i zadržavanja administratorskog pristupa unutar WordPressa. To komplicira otkrivanje promjena i može produžiti kontrolu napadača čak i nakon što odgovorni tim vjeruje da su očistili stranicu.
Ethereum kao komandna infrastruktura
Najupečatljiviji aspekt izvješća je korištenje Ethereumovih javnih RPC pristupnika za naređivanje i kontrolu. SC uključuje popis od oko 20 RPC pružatelja usluga - legitimnih usluga koje omogućuju aplikacijama, novčanicima i drugom softveru interakciju s blockchain mrežom.
Prema opisu, napadači nisu provalili u Ethereum niti ugrozili njegov protokol. Umjesto toga, iskorištavaju javno dostupnu infrastrukturu kako bi zlonamjernom softveru pružili upute. Ako se jedan pristupnik sruši ili postane nereaktivan, SC može isprobati druge na svom popisu.
Ova redundancija smanjuje utjecaj jednog bloka. Obrana se ne bi trebala oslanjati isključivo na blokiranje određene adrese, jer program ima nekoliko alternativnih ruta . Kombinacija internih kopija i vanjskih veza ono je što ovu varijantu čini posebno upornom prijetnjom.
Krađa sesije, injekcije i rizik plaćanja
Još jedna istaknuta mogućnost je prikupljanje tokena administratorske sesije . S njima napadač može održavati ili dobiti privilegirani pristup bez ograničavanja na izmjenu vidljivog sadržaja. To otvara vrata dubokim promjenama i otežava ponovno preuzimanje kontrole nad kompromitiranim računom.
SC također može umetnuti JavaScript u javni dio web-mjesta. U online trgovini, ovaj kod bi se mogao pokrenuti tijekom procesa naplate i koristiti za prikupljanje podataka o kartici ili platnom sustavu. Dostupne informacije ne navode koliko je web-mjesta ili transakcija pogođeno.
Prije djelovanja, zlonamjerni softver prikuplja tehničke informacije putem otiska prsta : URL-ove i nazive hostova, verziju WordPressa, verzije instaliranih dodataka i druge podatke koji mu pomažu da razumije konfiguraciju cilja. Što više napadači znaju o okruženju, lakše im je prilagoditi svoje sljedeće poteze.
Što to znači za web stranice u Španjolskoj i Europi?
Iako izvješće ne navodi podatke specifične za pojedinu zemlju, svaka WordPress instalacija u Španjolskoj ili Europi može biti meta ako koristi zastarjele dodatke ili ima slabe dozvole. Prekogranična priroda ovih napada znači da sama geografska lokacija nije prepreka.
Administratori web-mjesta trebali bi pregledati sigurnosne kopije , zapisnike i izmijenjene datoteke, ali imaju na umu da djelomično čišćenje možda neće biti dovoljno. Također je preporučljivo provjeriti aktivne sesije, administratorske korisnike i bilo koji neobičan kod u predlošcima ili proširenjima.
U e-trgovini, rizik za plaćanja dodaje dodatni pritisak. Ako zlonamjerni softver zadrži pristup i može ubrizgati skripte, povjerenje korisnika je ugroženo. Ne radi se samo o oporavku web stranice, već o sprječavanju da podaci o kupcima dospiju u pogrešne ruke.
Sucurijevo upozorenje jasno pokazuje jednu stvar: SC nije problem koji se može riješiti jednim čišćenjem. Njegova sposobnost replikacije na više komponenti , korištenje Ethereum RPC pristupnika i mogućnosti krađe sesija ili ubrizgavanja koda čine ga teškom prijetnjom za iskorjenjivanje. Za administratore je prioritet temeljito pregledati cijelo WordPress okruženje, održavati ažuriranja ažurnima i razumjeti da infekcija ove vrste zahtijeva širi odgovor od pukog brisanja jedne datoteke.
