Saugumo bendrovės „Sucuri“ ataskaitoje atkreipiamas dėmesys į „WordPress“ kenkėjiškos programos variantą, vadinamą SC. Tai nėra įprastas Trojos arklys: jis sukurtas taip, kad išgyventų įprastą valymą ir vėl pasirodytų net pašalinus matomas infekcijos dalis. Grėsmė naudoja nereikalingas kopijas ir „Ethereum“ viešąsias paslaugas savo ryšio kanalui palaikyti.
Šis atvejis ypač domina tuos, kurie valdo „WordPress“ svetaines – nuo asmeninių tinklaraščių iki internetinių parduotuvių. Ispanijoje ir likusioje Europoje daugelis projektų remiasi šia turinio valdymo sistema , todėl nuolatinė infekcija gali paveikti tiek administratorių, tiek lankytojus. „Sucuri“ paskelbta ir specializuotų žiniasklaidos priemonių pateikta informacija rodo problemą, kurios negalima išspręsti tiesiog ištrynus vieną įtartiną failą.
Kas yra SC kenkėjiška programa ir kodėl ją taip sunku pašalinti?
SC elgiasi kaip save gyjanti sistema . Jos kenkėjiška apkrova gali atsirasti papildiniuose, temose, duomenų bazėje ir net su „WordPress“ suderinamuose serveriuose. „Sucuri“ teigia, kad šią kenkėjišką apkrovą aptiko mažiausiai aštuoniose skirtingose vietose vienu metu, o tai paneigia vieno gedimo taško, kurį galima rasti ir pašalinti, idėją.
Praktinė pasekmė kelia nerimą: jei administratorius ištrina vieną kopiją ir palieka kitą su pakankama veikimo galia, kenkėjiška programa gali atsinaujinti ir vėl atsirasti. Toks pasiskirstymas paaiškina, kodėl tradiciniai metodai, pagrįsti sugadinto failo paieška arba centrinio ryšio nutraukimu, gali būti neveiksmingi.
Be to, SC ne tik slepiasi. Viena iš jo galimybių yra galimybė išjungti saugos įrankius ir išlaikyti administratoriaus lygio prieigą „WordPress“ sistemoje. Tai apsunkina pakeitimų aptikimą ir gali pailginti užpuoliko kontrolę net ir po to, kai atsakinga komanda mano, kad išvalė svetainę.
Ethereum kaip komandų infrastruktūra
Ryškiausias ataskaitos aspektas yra „Ethereum“ viešųjų RPC šliuzų naudojimas komandoms ir valdymui. SC pateikė maždaug 20 RPC teikėjų sąrašą – tai teisėtos paslaugos, leidžiančios programoms, piniginėms ir kitai programinei įrangai sąveikauti su blokų grandinės tinklu.
Aprašyme teigiama, kad užpuolikai nepažeidė „Ethereum“ ir nepažeidė jos protokolo. Vietoj to, jie išnaudojo viešai prieinamą infrastruktūrą, kad pateiktų kenkėjiškai programai instrukcijas. Jei vienas šliuzas sugenda arba nereaguoja, SC gali išbandyti kitus savo sąraše esančius šliuzus.
Šis perteklius sumažina vieno bloko poveikį. Apsauga neturėtų remtis vien konkretaus adreso blokavimu, nes programa turi kelis alternatyvius maršrutus . Vidinių kopijų ir išorinių ryšių derinys daro šį variantą ypač nuolatine grėsme.
Seanso vagystės, injekcijos ir mokėjimo rizika
Kita pabrėžiama galimybė – administratoriaus sesijos žetonų rinkimas . Jais pasinaudodamas užpuolikas gali išlaikyti arba gauti privilegijuotą prieigą neapsiribodamas matomo turinio modifikavimu. Tai atveria duris giliems pakeitimams ir apsunkina pažeistos paskyros kontrolės atgavimą.
SC taip pat gali įterpti „JavaScript“ į viešai prieinamą svetainės dalį. Internetinėje parduotuvėje šis kodas gali būti paleistas atsiskaitymo proceso metu ir naudojamas kortelės ar mokėjimo šliuzo duomenims rinkti. Turimoje informacijoje nenurodoma, kiek svetainių ar operacijų tai paveikė.
Prieš imdamasi veiksmų, kenkėjiška programa renka techninę informaciją pirštų atspaudų pagalba : URL adresus ir pagrindinių kompiuterių pavadinimus, „WordPress“ versiją, įdiegtų papildinių versijas ir kitus duomenis, kurie padeda suprasti taikinio konfigūraciją. Kuo daugiau užpuolikai žino apie aplinką, tuo lengviau jiems pritaikyti tolesnius veiksmus.
Ką tai reiškia svetainėms Ispanijoje ir Europoje?
Nors ataskaitoje nepateikiami konkrečioms šalims skirti duomenys, bet kuri „WordPress“ instaliacija Ispanijoje ar Europoje gali tapti taikiniu, jei joje naudojami pasenę papildiniai arba silpnos teisės. Tarpvalstybinis šių atakų pobūdis reiškia, kad vien geografinė vieta nėra kliūtis.
Svetainių administratoriai turėtų peržiūrėti atsargines kopijas , žurnalus ir modifikuotus failus, tačiau atminkite, kad dalinio valymo gali nepakakti. Taip pat patartina patikrinti aktyvius seansus, administratoriaus teises turinčius vartotojus ir bet kokį neįprastą kodą šablonuose ar plėtiniuose.
Elektroninėje prekyboje mokėjimų rizika dar labiau padidina spaudimą. Jei kenkėjiška programa išlaiko prieigą ir gali įterpti scenarijus, sumažėja vartotojų pasitikėjimas . Svarbu ne tik atkurti svetainę, bet ir užkirsti kelią klientų duomenų patekimui į netinkamas rankas.
„Sucuri“ perspėjimas aiškiai parodo vieną dalyką: SC nėra problema, kurią galima išspręsti vienu valymu. Jos gebėjimas replikuotis keliuose komponentuose , Ethereum RPC šliuzų naudojimas ir galimybės vogti sesijas arba įterpti kodą daro ją sunkiai išnaikinama grėsme. Administratoriams svarbiausia yra nuodugniai peržiūrėti visą „WordPress“ aplinką, nuolat atnaujinti ir suprasti, kad tokio tipo infekcijai reikia platesnio atsako nei vien vieno failo ištrynimas.
