Μια αναφορά από την εταιρεία ασφαλείας Sucuri επισημαίνει μια παραλλαγή κακόβουλου λογισμικού WordPress γνωστή ως SC. Δεν πρόκειται για ένα συνηθισμένο Trojan: έχει σχεδιαστεί για να επιβιώνει από τον συμβατικό καθαρισμό και να επανεμφανίζεται ακόμη και μετά την αφαίρεση των ορατών τμημάτων της μόλυνσης. Η απειλή αξιοποιεί πλεονάζοντα αντίγραφα και δημόσιες υπηρεσίες Ethereum για να διατηρήσει το κανάλι επικοινωνίας της.
Αυτή η περίπτωση παρουσιάζει ιδιαίτερο ενδιαφέρον για όσους διαχειρίζονται ιστότοπους WordPress, από προσωπικά ιστολόγια έως ηλεκτρονικά καταστήματα. Στην Ισπανία και την υπόλοιπη Ευρώπη, πολλά έργα βασίζονται σε αυτό το σύστημα διαχείρισης περιεχομένου , επομένως μια επίμονη μόλυνση μπορεί να επηρεάσει τόσο τον διαχειριστή όσο και τους επισκέπτες. Οι λεπτομέρειες που δημοσιεύονται από την Sucuri και αναφέρονται από εξειδικευμένα μέσα ενημέρωσης υποδεικνύουν ένα πρόβλημα που δεν μπορεί να λυθεί απλώς με τη διαγραφή ενός μόνο ύποπτου αρχείου.
Τι είναι το κακόβουλο λογισμικό SC και γιατί είναι τόσο δύσκολο να το αφαιρέσετε;
Το SC συμπεριφέρεται σαν ένα αυτοθεραπευόμενο σύστημα . Το κακόβουλο φορτίο του μπορεί να εμφανιστεί σε πρόσθετα (plugins), θέματα (themes), τη βάση δεδομένων, ακόμη και σε διακομιστές συμβατούς με WordPress. Η Sucuri ισχυρίζεται ότι έχει εντοπίσει αυτό το φορτίο σε τουλάχιστον οκτώ διαφορετικές τοποθεσίες ταυτόχρονα, γεγονός που διαψεύδει την ιδέα ενός μοναδικού σημείου αποτυχίας που μπορεί να εντοπιστεί και να αφαιρεθεί.
Η πρακτική συνέπεια είναι ανησυχητική: εάν ο διαχειριστής διαγράψει ένα αντίγραφο και αφήσει ένα άλλο με επαρκή χωρητικότητα για να λειτουργήσει, το κακόβουλο λογισμικό μπορεί να ανακατασκευαστεί και να ανακτήσει την παρουσία του. Αυτή η κατανομή εξηγεί γιατί οι παραδοσιακές μέθοδοι, που βασίζονται στην αναζήτηση ενός κατεστραμμένου αρχείου ή στη διακοπή μιας κεντρικής σύνδεσης, μπορεί να αποτύχουν.
Επιπλέον, το SC δεν κρύβεται απλώς. Μεταξύ των δυνατοτήτων του είναι η δυνατότητα απενεργοποίησης εργαλείων ασφαλείας και η διατήρηση πρόσβασης σε επίπεδο διαχειριστή στο WordPress. Αυτό περιπλέκει την ανίχνευση αλλαγών και μπορεί να παρατείνει τον έλεγχο του εισβολέα ακόμη και αφού η υπεύθυνη ομάδα πιστεύει ότι έχει καθαρίσει τον ιστότοπο.
Το Ethereum ως υποδομή διοίκησης
Η πιο εντυπωσιακή πτυχή της έκθεσης είναι η χρήση των δημόσιων πυλών RPC του Ethereum για διοίκηση και έλεγχο. Το SC περιλαμβάνει μια λίστα με περίπου 20 παρόχους RPC — νόμιμες υπηρεσίες που επιτρέπουν σε εφαρμογές, πορτοφόλια και άλλο λογισμικό να αλληλεπιδρούν με το δίκτυο blockchain.
Οι επιτιθέμενοι δεν παραβίασαν το Ethereum ούτε έθεσε σε κίνδυνο το πρωτόκολλό του, σύμφωνα με την περιγραφή. Αντίθετα, εκμεταλλεύονται δημόσια διαθέσιμη υποδομή για να παρέχουν οδηγίες στο κακόβουλο λογισμικό. Εάν μια πύλη παρουσιάσει σφάλμα ή δεν ανταποκρίνεται, το SC μπορεί να δοκιμάσει άλλες στη λίστα του.
Αυτός ο πλεονασμός μειώνει τον αντίκτυπο ενός μεμονωμένου μπλοκαρίσματος. Η άμυνα δεν θα πρέπει να βασίζεται αποκλειστικά στον αποκλεισμό μιας συγκεκριμένης διεύθυνσης, επειδή το πρόγραμμα έχει αρκετές εναλλακτικές διαδρομές . Ο συνδυασμός εσωτερικών αντιγράφων και εξωτερικών συνδέσεων είναι αυτό που καθιστά αυτήν την παραλλαγή μια ιδιαίτερα επίμονη απειλή.
Κλοπή συνεδρίας, εισβολές και κίνδυνος πληρωμής
Μια άλλη δυνατότητα που επισημαίνεται είναι η συλλογή διακριτικών συνεδρίας διαχειριστή . Με αυτά, ο εισβολέας μπορεί να διατηρήσει ή να αποκτήσει προνομιακή πρόσβαση χωρίς να περιορίζεται στην τροποποίηση του ορατού περιεχομένου. Αυτό ανοίγει την πόρτα σε βαθιές αλλαγές και δυσχεραίνει την ανάκτηση του ελέγχου ενός παραβιασμένου λογαριασμού.
Το SC μπορεί επίσης να εισάγει JavaScript στο τμήμα ενός ιστότοπου που είναι προσβάσιμο στο κοινό. Σε ένα ηλεκτρονικό κατάστημα, αυτός ο κώδικας θα μπορούσε να εκτελεστεί κατά τη διαδικασία ολοκλήρωσης αγοράς και να χρησιμοποιηθεί για την καταγραφή δεδομένων κάρτας ή πύλης πληρωμής. Οι διαθέσιμες πληροφορίες δεν καθορίζουν πόσοι ιστότοποι ή συναλλαγές έχουν επηρεαστεί.
Πριν ενεργήσει, το κακόβουλο λογισμικό συλλέγει τεχνικές πληροφορίες μέσω δακτυλικών αποτυπωμάτων : διευθύνσεις URL και ονόματα κεντρικών υπολογιστών, έκδοση WordPress, εκδόσεις εγκατεστημένων plugin και άλλα δεδομένα που το βοηθούν να κατανοήσει τη διαμόρφωση του στόχου. Όσο περισσότερα γνωρίζουν οι εισβολείς για το περιβάλλον, τόσο πιο εύκολο είναι για αυτούς να προσαρμόσουν τις επόμενες κινήσεις τους.
Τι σημαίνει αυτό για ιστότοπους στην Ισπανία και την Ευρώπη;
Παρόλο που η έκθεση δεν παρέχει στοιχεία για συγκεκριμένες χώρες, οποιαδήποτε εγκατάσταση WordPress στην Ισπανία ή την Ευρώπη μπορεί να αποτελέσει στόχο εάν χρησιμοποιεί παρωχημένα πρόσθετα ή έχει αδύναμα δικαιώματα. Ο διασυνοριακός χαρακτήρας αυτών των επιθέσεων σημαίνει ότι η γεωγραφική τοποθεσία από μόνη της δεν αποτελεί εμπόδιο.
Οι διαχειριστές ιστότοπων θα πρέπει να ελέγχουν τα αντίγραφα ασφαλείας , τα αρχεία καταγραφής και τα τροποποιημένα αρχεία, αλλά να έχουν υπόψη ότι ένας μερικός καθαρισμός ενδέχεται να μην είναι αρκετός. Συνιστάται επίσης να ελέγχετε τις ενεργές συνεδρίες, τους χρήστες-διαχειριστές και τυχόν ασυνήθιστο κώδικα σε πρότυπα ή επεκτάσεις.
Στο ηλεκτρονικό εμπόριο, ο κίνδυνος για τις πληρωμές προσθέτει περαιτέρω πίεση. Εάν το κακόβουλο λογισμικό διατηρήσει την πρόσβαση και μπορεί να εισάγει σενάρια, η εμπιστοσύνη των χρηστών διακυβεύεται. Δεν πρόκειται μόνο για την ανάκτηση του ιστότοπου, αλλά και για την αποτροπή της πτώσης των δεδομένων των πελατών σε λάθος χέρια.
Η ειδοποίηση της Sucuri ξεκαθαρίζει ένα πράγμα: Το SC δεν είναι ένα πρόβλημα που μπορεί να λυθεί με έναν μόνο καθαρισμό. Η ικανότητά του να αναπαράγεται σε πολλά στοιχεία , η χρήση πυλών Ethereum RPC και οι δυνατότητές του να κλέβει συνεδρίες ή να εγχέει κώδικα το καθιστούν μια δύσκολη απειλή για την εξάλειψή του. Για τους διαχειριστές, η προτεραιότητα είναι να ελέγξουν διεξοδικά ολόκληρο το περιβάλλον του WordPress, να διατηρούν ενημερωμένες τις ενημερώσεις και να κατανοήσουν ότι μια μόλυνση αυτού του τύπου απαιτεί μια ευρύτερη αντιμετώπιση από την απλή διαγραφή ενός μόνο αρχείου.
