WordPress backdoor se sam obnavlja iz datoteka, baze i deljene memorije
Istraživači kompanije Sucuri opisali su zlonamerni kod koji se posle čišćenja ponovo uspostavlja iz više izvora. Nije poznato kako se zaraza širi, a pogađa WordPress sajtove.
Kompanija Sucuri objavila je analizu WordPress infekcije u kojoj se zlonamerni kod nazvan SC krije na najmanje osam mesta. Kopije su raspoređene po datotekama, bazi podataka i deljenoj memoriji, a svaka može da obnovi sve ostale.
Ako administrator obriše dodatak, druga komponenta ga ponovo upisuje. Ako očisti datoteke, sledeće učitavanje stranice vraća kod iz baze ili deljene memorije. Kod nema čitljiva imena funkcija, a komunikacija sa komandnim serverom ide kroz Ethereum blockchain.
Backdoor može da kreira skriveni administratorski nalog, preuzima dodatne komponente, ubacuje JavaScript posetiocima i pokreće PHP kod. Na serverima sa System V deljenom memorijom kod ostaje u RAM-u i preživljava brisanje datoteka i čišćenje baze. Na deljenom hostingu segment može pripadati drugom nalogu.
Sucuri navodi da nije poznato kako je malver dospeo na sajt. Uobičajeni ulazi su ranjivosti u WordPress-u, dodacima i temama, slabe lozinke i nesigurno otpremanje datoteka. U povezanom izveštaju pominje se aktivna zloupotreba ranjivosti SQL injection bez prijave u dodatku wpForo Forum (CVE-2026-1581) do verzije 2.4.14.
Šta uraditi - Ne oslanjati se na brisanje pojedinačnih datoteka ili dodatka jer se kod obnavlja iz preostalih kopija. - Proveriti skrivene administratorske naloge, cron zadatke, mu-plugins i drop-in datoteke, bazu i deljenu memoriju. - Na deljenom hostingu uključiti provajdera, jer segment deljene memorije može biti pod kontrolom drugog naloga.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove