Turvafirma Sucuri aruanne tõi esile WordPressi pahavara variandi, mida tuntakse kui SC. See pole tavaline troojalane: see on loodud tavapärase puhastuse üle elama ja uuesti pinnale ilmuma isegi pärast seda, kui nakkuse nähtavad osad on eemaldatud. Oht kasutab oma suhtluskanali säilitamiseks üleliigseid koopiaid ja Ethereumi avalikke teenuseid.
See juhtum pakub erilist huvi neile, kes haldavad WordPressi veebisaite, alates isiklikest ajaveebidest kuni veebipoodideni. Hispaanias ja mujal Euroopas tuginevad paljud projektid sellele sisuhaldussüsteemile , seega võib püsiv nakkus mõjutada nii administraatorit kui ka külastajaid. Sucuri avaldatud ja spetsialiseeritud meediaväljaannete teatatud üksikasjad viitavad probleemile, mida ei saa lahendada lihtsalt ühe kahtlase faili kustutamisega.
Mis on SC pahavara ja miks on seda nii raske eemaldada?
SC käitub nagu isetervenev süsteem . Selle pahatahtlik koormus võib esineda pluginates, teemades, andmebaasis ja isegi WordPressiga ühilduvates serverites. Sucuri väidab, et on selle koormuse tuvastanud vähemalt kaheksas erinevas asukohas samaaegselt, mis lükkab ümber ühe rikkepunkti idee, mida saab leida ja eemaldada.
Praktiline tagajärg on murettekitav: kui administraator kustutab ühe koopia ja jätab teisele piisavalt töövõimet, saab pahavara end uuesti üles ehitada ja oma kohaloleku taastada. See levik selgitab, miks traditsioonilised meetodid, mis põhinevad rikutud faili otsimisel või keskse ühenduse katkestamisel, võivad ebaõnnestuda.
Lisaks ei peida end lihtsalt ära. Selle võimaluste hulka kuulub ka turvatööriistade keelamine ja WordPressi administraatori tasemel juurdepääsu säilitamine. See raskendab muudatuste tuvastamist ja võib ründaja kontrolli pikendada isegi pärast seda, kui vastutav meeskond usub, et nad on saidi puhastanud.
Ethereum kui käskude infrastruktuur
Aruande kõige silmatorkavam aspekt on Ethereumi avalike RPC-lüüside kasutamine juhtimiseks ja juhtimiseks. SC sisaldab nimekirja umbes 20 RPC-teenuse pakkujast – legitiimsetest teenustest, mis võimaldavad rakendustel, rahakottidel ja muul tarkvaral plokiahela võrguga suhelda.
Kirjelduse kohaselt ei rikkunud ründajad Ethereumi ega kompromiteerinud selle protokolli. Selle asemel kasutavad nad pahavarale juhiste andmiseks ära avalikult kättesaadavat infrastruktuuri . Kui üks värav jookseb kokku või ei reageeri, saab SC proovida teisi oma nimekirjas olevaid väravaid.
See koondamine vähendab ühe blokeeringu mõju. Kaitse ei tohiks loota ainult konkreetse aadressi blokeerimisele, sest programmil on mitu alternatiivset marsruuti . Sisemiste koopiate ja väliste ühenduste kombinatsioon muudab selle variandi eriti püsivaks ohuks.
Seansi vargus, süstimine ja makserisk
Teine esile tõstetud võimekus on administraatori seansi tunnuste kogumine . Nende abil saab ründaja säilitada või saada privilegeeritud juurdepääsu ilma nähtava sisu muutmiseta. See avab ukse ulatuslikeks muudatusteks ja raskendab ohustatud konto üle kontrolli taastamist.
SC saab JavaScripti sisestada ka saidi avalikkusele suunatud ossa. Veebipoes saab seda koodi käivitada kassaprotsessi ajal ja seda saab kasutada kaardi- või maksevärava andmete jäädvustamiseks. Saadaval olev teave ei täpsusta, mitu saiti või tehingut see on mõjutanud.
Enne tegutsemist kogub pahavara sõrmejälgede abil tehnilist teavet : URL-id ja hostinimed, WordPressi versioon, installitud pluginate versioonid ja muud andmed, mis aitavad tal sihtmärgi konfiguratsiooni mõista. Mida rohkem ründajad keskkonna kohta teavad, seda lihtsam on neil oma järgmisi samme kohandada.
Mida see tähendab Hispaania ja Euroopa veebisaitide jaoks?
Kuigi aruanne ei sisalda riigipõhiseid andmeid, võib iga WordPressi installatsioon Hispaanias või Euroopas olla sihtmärgiks, kui see kasutab aegunud pluginaid või sellel on nõrgad õigused. Nende rünnakute piiriülene olemus tähendab, et ainuüksi geograafiline asukoht ei ole takistuseks.
Veebisaidi administraatorid peaksid üle vaatama varukoopiad , logid ja muudetud failid, kuid arvestage, et osalisest puhastamisest ei pruugi piisata. Samuti on soovitatav kontrollida aktiivseid seansse, administraatoriõigustega kasutajaid ja mallides või laiendustes olevat ebatavalist koodi.
E-kaubanduses lisab maksetega seotud risk veelgi survet. Kui pahavara säilitab juurdepääsu ja saab skripte sisestada, on kasutajate usaldus kahjustatud. Asi pole ainult veebisaidi taastamises, vaid ka kliendiandmete valedesse kätesse sattumise vältimises.
Sucuri hoiatus teeb ühe asja selgeks: SC ei ole probleem, mida saab lahendada ühe puhastusega. Selle võime paljuneda mitme komponendi vahel , Ethereumi RPC-lüüside kasutamine ja seansside varastamise või koodi sisestamise võimalused muudavad selle keeruliseks ohuks. Administraatorite jaoks on prioriteediks kogu WordPressi keskkonna põhjalik ülevaatamine, värskenduste ajakohasena hoidmine ja mõistmine, et seda tüüpi nakkus nõuab laiemat reageerimist kui lihtsalt ühe faili kustutamine.
