Bezpečnostní výzkumníci popsali sofistikovaný backdoor pro WordPress, který dokáže přežít i částečné vyčištění napadeného webu. Malware označovaný jako SC je uložen na několika místech současně a jednotlivé kopie se navzájem obnovují. Pouhé smazání podezřelého souboru nebo pluginu proto k odstranění infekce nestačí.
Podle analýzy společnosti Sucuri může být backdoor přítomný nejméně na osmi místech instalace. Patří mezi ně například soubory user.ini, db.php, advanced-cache.php, upravený soubor aktivní šablony a kopie v adresářích pluginů. Konkrétní názvy se mohou mezi jednotlivými napadeními lišit.
K obnově malwaru slouží několik mechanismů. Škodlivý kód může být uložen přímo v databázi WordPressu, v komprimovaném a šifrovaném souboru, v archivu ZIP nebo v systémové sdílené paměti. Pokud správce odstraní jednu kopii, jiná část infekce ji při dalším požadavku znovu vytvoří.
SC navíc využívá infrastrukturu blockchainu Ethereum pro komunikaci s řídicími servery. Namísto jediného pevně nastaveného serveru může malware používat veřejné RPC brány a získávat přes ně instrukce uložené v blockchainové infrastruktuře. Blokování konkrétních IP adres je tak obtížnější.
Po aktivaci dokáže backdoor vytvářet skryté účty s administrátorskými právy, spouštět libovolný PHP kód, stahovat další škodlivé komponenty a vkládat JavaScript do zobrazovaných stránek. Může také deaktivovat bezpečnostní pluginy, mazat vybrané pluginy, skrývat se v administrátorském rozhraní a návštěvníkům zobrazovat například phishingové formuláře.
Správci napadených webů by proto neměli spoléhat pouze na smazání nalezeného pluginu nebo souboru. Je nutné prověřit celý webový prostor i databázi, zkontrolovat uživatelské účty, přístupové údaje a změny v konfiguraci, aktualizovat WordPress a doplňky a v případě pochybností provést obnovu z ověřené čisté zálohy. Po obnově je vhodné změnit všechna hesla a zneplatnit existující relace a přístupové tokeny.
ČLÁNKY DO MAILU