Një raport nga firma e sigurisë Sucuri ka nxjerrë në pah një variant të malware-it WordPress të njohur si SC. Ky nuk është një Trojan i zakonshëm: është projektuar për t'i mbijetuar pastrimit konvencional dhe për t'u rishfaqur edhe pasi të hiqen pjesët e dukshme të infeksionit. Kërcënimi shfrytëzon kopjet e tepërta dhe shërbimet publike të Ethereum për të ruajtur kanalin e tij të komunikimit.
Ky rast është me interes të veçantë për ata që menaxhojnë faqet e internetit të WordPress, nga blogjet personale te dyqanet online. Në Spanjë dhe pjesën tjetër të Evropës, shumë projekte mbështeten në këtë sistem menaxhimi përmbajtjeje , kështu që një infeksion i vazhdueshëm mund të prekë si administratorin ashtu edhe vizitorët. Detajet e publikuara nga Sucuri dhe të raportuara nga media të specializuara tregojnë për një problem që nuk mund të zgjidhet thjesht duke fshirë një skedar të vetëm të dyshimtë.
Çfarë është malware SC dhe pse është kaq e vështirë për t'u hequr?
SC sillet si një sistem vetë-shërues . Ngarkesa e tij keqdashëse mund të shfaqet në plugin-e, tema, bazën e të dhënave dhe madje edhe në servera të pajtueshëm me WordPress. Sucuri pretendon se e ka zbuluar këtë ngarkesë në të paktën tetë vende të ndryshme njëkohësisht, gjë që hedh poshtë idenë e një pike të vetme dështimi që mund të gjendet dhe hiqet.
Pasoja praktike është shqetësuese: nëse administratori fshin një kopje dhe lë një tjetër me kapacitet të mjaftueshëm për të vepruar, programi keqdashës mund ta rindërtojë veten dhe të rifitojë praninë e tij. Kjo shpërndarje shpjegon pse metodat tradicionale, të bazuara në kërkimin e një skedari të dëmtuar ose ndërprerjen e një lidhjeje qendrore, mund të dështojnë.
Për më tepër, SC nuk fshihet vetëm. Ndër aftësitë e tij është aftësia për të çaktivizuar mjetet e sigurisë dhe për të ruajtur aksesin në nivel administratori brenda WordPress. Kjo e ndërlikon zbulimin e ndryshimeve dhe mund të zgjasë kontrollin e sulmuesit edhe pasi ekipi përgjegjës beson se e ka pastruar faqen.
Ethereum si një infrastrukturë komanduese
Aspekti më mbresëlënës i raportit është përdorimi i portave publike RPC të Ethereum për komandë dhe kontroll. SC përfshin një listë prej rreth 20 ofruesish RPC - shërbime legjitime që lejojnë aplikacionet, portofolet dhe softuerë të tjerë të bashkëveprojnë me rrjetin blockchain.
Sipas përshkrimit, sulmuesit nuk e kanë shkelur Ethereum dhe as nuk e kanë kompromentuar protokollin e tij. Në vend të kësaj, ata shfrytëzojnë infrastrukturën e disponueshme publikisht për t'i dhënë malware-it udhëzime. Nëse një portë hyrëse rrëzohet ose nuk përgjigjet, SC mund të provojë të tjera në listën e saj.
Ky tepricë zvogëlon ndikimin e një blloku të vetëm. Mbrojtja nuk duhet të mbështetet vetëm në bllokimin e një adrese specifike, sepse programi ka disa rrugë alternative . Kombinimi i kopjeve të brendshme dhe lidhjeve të jashtme është ajo që e bën këtë variant një kërcënim veçanërisht të vazhdueshëm.
Vjedhja e sesionit, injeksionet dhe rreziku i pagesës
Një tjetër aftësi e theksuar është mbledhja e tokenëve të sesionit të administratorit . Me këto, sulmuesi mund të ruajë ose të fitojë akses të privilegjuar pa u kufizuar në modifikimin e përmbajtjes së dukshme. Kjo hap derën për ndryshime të thella dhe e bën të vështirë rifitimin e kontrollit të një llogarie të kompromentuar.
SC gjithashtu mund të injektojë JavaScript në pjesën publike të një faqeje interneti. Në një dyqan online, ky kod mund të funksionojë gjatë procesit të arkëtimit dhe të përdoret për të kapur të dhënat e kartës ose të portës së pagesës. Informacioni i disponueshëm nuk specifikon se sa faqe ose transaksione janë prekur.
Përpara se të veprojë, programi keqdashës mbledh informacione teknike përmes gjurmëve të gishtërinjve : URL-të dhe emrat e host-ave, versionin e WordPress-it, versionet e plugin-eve të instaluara dhe të dhëna të tjera që e ndihmojnë të kuptojë konfigurimin e objektivit. Sa më shumë që sulmuesit dinë për mjedisin, aq më e lehtë është për ta të përshtasin lëvizjet e tyre të ardhshme.
Çfarë do të thotë kjo për faqet e internetit në Spanjë dhe Evropë?
Edhe pse raporti nuk ofron shifra specifike për vendin, çdo instalim i WordPress në Spanjë ose Evropë mund të jetë një objektiv nëse përdor plugin-e të vjetruara ose ka leje të dobëta. Natyra ndërkufitare e këtyre sulmeve do të thotë që vetëm vendndodhja gjeografike nuk është pengesë.
Administratorët e faqes së internetit duhet të rishikojnë kopjet rezervë , regjistrat dhe skedarët e modifikuar, por të kenë parasysh se një pastrim i pjesshëm mund të mos jetë i mjaftueshëm. Gjithashtu këshillohet të kontrolloni sesionet aktive, përdoruesit administratorë dhe çdo kod të pazakontë në shabllone ose zgjerime.
Në tregtinë elektronike, rreziku për pagesat shton presion të mëtejshëm. Nëse programet keqdashëse ruajnë aksesin dhe mund të injektojnë skripte, besimi i përdoruesit kompromentohet. Nuk ka të bëjë vetëm me rikuperimin e faqes së internetit, por edhe me parandalimin e rënies së të dhënave të klientëve në duar të gabuara.
Alarmi i Sucuri-t e bën të qartë një gjë: SC nuk është një problem që mund të zgjidhet me një pastrim të vetëm. Aftësia e tij për t'u replikuar në shumë komponentë , përdorimi i portave RPC të Ethereum dhe aftësitë e tij për të vjedhur seanca ose për të injektuar kod e bëjnë atë një kërcënim të vështirë për t'u zhdukur. Për administratorët, përparësia është të rishikojnë plotësisht të gjithë mjedisin e WordPress, të mbajnë përditësimet të azhurnuara dhe të kuptojnë se një infeksion i këtij lloji kërkon një përgjigje më të gjerë sesa thjesht fshirja e një skedari të vetëm.
