Malware i fshehtë WordPress fsheh administratorin përmes një shtojce must-use
Një mostër e re e dokumentuar malware WordPress tregon se si një shtojcë must-use me qëllim të keq, një skedar i veçantë që ekzekutohet automatikisht në çdo kërkesë WordPress dhe nuk mund të çaktivizohet nga ekrani normal i Shtojcave, mund të fshehë një llogari administratori mashtruese, të mbledhë fjalëkalime hyrjeje dhe të vetë-restaurohet pas fshirjes. Ekipi i Inteligjencës së Kërcënimeve Wordfence identifikoi mostrën në mes të qershorit gjatë një pastrimi të faqes. Malware përdor Etherhiding, një teknikë që fsheh vendndodhjen e serverëve komandues të sulmuesit pas një kontrate inteligjente në blockchain-in Ethereum, duke e bërë kanalin e komandës të vështirë për t'u rrëzuar. Wordfence zhvilloi dhe publikoi një nënshkrim zbulimi malware pas procesit të rishikimit me pyetje-përgjigje më 23 qershor 2026. Klientët Wordfence Premium, Wordfence Care dhe Wordfence Response e morën nënshkrimin menjëherë, ndërsa versionet falas e morën pas vonesës standarde 30-ditore. Wordfence thotë se skaneri i tij i shtojcave zbulon mbi 99 për qind të mostrave dhe treguesve të komprometimit kur përdor grupin e nënshkrimeve premium, dhe baza e tij e të dhënave të inteligjencës së kërcënimeve përmban më shumë se 4.4 milionë mostra unike me qëllim të keq.
Shtojcat must-use jetojnë jashtë sistemit të rregullt të shtojcave, gjë që i bën ato tërheqëse për sulmuesit: ato ekzekutohen para shtojcave normale dhe nuk renditen në ekranin e rregullt të Shtojcave. Wordfence raporton se kjo mostër e veçantë ishte maskuar si një mjet i automatizuar kontrolli shëndetësor dhe raportimi, i plotë me një emër autori të besueshëm dhe një lidhje me një depo kodi. Nëpër zbulimet e tij, malware u shfaq nën më shumë se 4,000 emra skedarësh të ndryshëm. Më të zakonshmit ishin drop-in të WordPress me pamje legjitime si advanced-cache.php dhe db.php, si dhe skedari functions.php i një teme. Emri, autori dhe fushat URI të shtojcës gjithashtu ndryshojnë midis mostrave, kështu që ato metadata nuk janë tregues të besueshëm për zbulim.
Për të shmangur analizën dhe vëmendjen e administratorit, malware përdor një skemë të personalizuar errësimi të vargjeve. Ndryshe nga malware i zakonshëm WordPress që përdor modele të njohura si eval(base64_decode(...)), kjo mostër mban thirrje të zakonshme API të WordPress si add_action() dhe get_option() të dukshme, por fsheh vlerat që u kalohen atyre, duke përfshirë emrat e grepave, emrat e opsioneve, konstantet dhe shtigjet e skedarëve, pas një dekoduesi të personalizuar. Dekoduesi është ndërtuar rreth dy funksioneve: njëri ruan një tabelë të madhe kërkimi me vargje të koduara, dhe tjetri merr dhe dekodon një varg kur nevojitet. Truku është një shifër e thjeshtë zëvendësimi: dy alfabete janë rreshtuar karakter pas karakteri, dhe çdo karakter në vargun e përzier zëvendësohet nga karakteri në të njëjtin pozicion në alfabetin e vërtetë. Për shembull, vargu i koduar gw|hIW|'Il dekodohet në get_option. Disa deklarata SQL fshihen gjithashtu duke zëvendësuar karaktere individuale me kode heksadecimale, të cilat PHP i interpreton saktë në kohën e ekzekutimit, kështu që pyetjet e bazës së të dhënave ekzekutohen normalisht; sekuenca heksadecimale \x55\x50\x44\x41\x54\x45 lexohet nga PHP si UPDATE. Përveç kësaj, malware lidh disa filtra dhe përdor teknika shtesë për ta mbajtur veten jashtë panelit të WordPress. Ai lidh filtrin show_advanced_plugins dhe heq shtojcën me qëllim të keq nga lista e shtojcave must-use para se WordPress të shfaqë faqen, dhe gjithashtu fsheh shtojcën nga faqja e rregullt e Shtojcave, njoftimet e përditësimeve dhe ekrani i Shëndetit të Faqes.
Qëndrueshmëria fillon me aksesin e administratorit. Malware së pari kontrollon nëse ka krijuar tashmë një llogari administratori duke lexuar një emër përdoruesi nga një opsion i ruajtur nën çelësin `bu`. Nëse ekziston një llogari e synuar, ai rivendos fjalëkalimin e asaj llogarie dhe adopton hyrjen e saj, duke e lënë numrin total të përdoruesve të pandryshuar. Nëse nuk ekziston asnjë llogari, ai ndërton një emër përdoruesi nga një grup prej katër parashtesash, admin_, adm_, administrator_ dhe backup_, dhe shton një prapashtesë të rastësishme me gjashtë karaktere. Pastaj krijon llogarinë me rolin e administratorit dhe një fjalëkalim të gjeneruar rastësisht, dhe shkruan emrin e përdoruesit dhe fjalëkalimin përsëri në opsionet e tij WordPress të quajtura bu dhe bp. Për të parandaluar që llogaria mashtruese të dallohet, malware lidh tre filtra. I pari modifikon pyetjen që WordPress ekzekuton para se të listojë përdoruesit, duke shtuar një kusht që përjashton emrin e fshehur të përdoruesit. I dyti aplikon të njëjtin përjashtim në REST API duke përdorur parametrin login__not_in. I treti zbret një nga numrat e shfaqur për pamjet e përdoruesve Të gjithë dhe Administrator, kështu që totalet duken në përputhje me listën e filtruar. Për shkak se llogaria fshihet si nga paneli ashtu edhe nga listat e REST API, Wordfence vëren se inspektimi i drejtpërdrejtë i bazës së të dhënave është mënyra e besueshme për të parë llogarinë.
Malware gjithashtu mbledh fjalëkalime administratori në tekst të thjeshtë. Ai lidh filtrin authenticate të WordPress, i cili aktivizohet pas çdo hyrjeje dhe merr objektin e përdoruesit të vërtetuar, emrin e përdoruesit dhe fjalëkalimin në tekst të thjeshtë drejtpërdrejt nga WordPress. Mbajtësi vepron vetëm mbi llogaritë me aftësi administratori dhe ruan fjalëkalimin në tekst të thjeshtë në një opsion WordPress të quajtur `ic`, të çelësuar sipas emrit të përdoruesit. Kjo do të thotë se çdo hyrje e suksesshme e administratorit regjistrohet në bazën e të dhënave në tekst të qartë, duke i dhënë sulmuesit një rrjedhë të vazhdueshme kredencialesh.
Vetë-shërimi dhe vetë-riaktivizimi e bëjnë pastrimin të vështirë. Malware regjistron rutinën e tij të restaurimit në plugins_loaded me përparësi 0, kështu që ekzekutohet herët në çdo kërkesë WordPress. Një transient e kufizon kontrollin në një herë në orë. Nëse skedari i shtojcës mungon ose është më i vogël se 5,000 bajt, rutina merr një kopje të ruajtur nga opsioni `src` dhe e shkruan përsëri në disk. Pastaj përdor touch() për të datuar mbrapsht kohën e modifikimit dhe chmod() për të vendosur modalitetin e skedarit në 0444, duke e bërë skedarin e restauruar të duket i vjetër dhe vetëm për lexim. Veçmas, shtojca gjithashtu shkruan veten përsëri në opsionin active_plugins drejtpërdrejt, duke anashkaluar procesin normal të aktivizimit të shtojcave të WordPress. Ai lexon wp-config.php për të marrë emrin e bazës së të dhënave dhe parashtesën e tabelës, ndërton emrin e kualifikuar të tabelës së opsioneve dhe nën një transaksion të kyçur shton veten në opsionin active_plugins. Ky mekanizëm zbatohet për kopjet e vendosura në direktorinë standarde wp-content/plugins.
Së fundi, malware përhapet në instalime të tjera WordPress në të njëjtin server. Ai kërkon në sistemin e skedarëve për instalime WordPress, duke synuar rrënjë të zakonshme të serverëve web duke përfshirë /home, /var/www, /var/www/vhosts, /var/www/html, /srv/www, /srv/users dhe /usr/local/www, si dhe shtigje relative me vendndodhjen e tij. Rutina e përhapjes ekzekutohet më së shumti një herë në tre ditë, e kontrolluar nga një transient i quajtur sc_spread_interval. Ai lexon kodin e tij burimor dhe shkruan një kopje në çdo instalim të aksesueshëm. Në një mjedis hosting të përbashkët ku shumë faqe ndajnë të njëjtin server, një infeksion i vetëm mund të përhapet në heshtje nëpër të gjitha ato.
Pronarët e faqeve duhet ta trajtojnë këtë si një kujtesë se llogaritë e fshehura të administratorit dhe dosjet e shtojcave must-use meritojnë rishikim të rregullt manual, jo vetëm shikime në panel. Nënshkrimi i Wordfence është i disponueshëm për përdoruesit e tij, dhe shërbimet e tij premium përfshijnë heqjen e malware dhe përgjigjen ndaj incidenteve. Për komunitetin më të gjerë WordPress, hapat praktikë më poshtë përshkruajnë se si të kontrolloni për këtë lloj infeksioni. Hosting i menaxhuar WordPress si AEU Hosting, i cili përfshin kopje rezervë automatike, forcim sigurie dhe mbështetje ekspertësh, u jep pronarëve të faqeve një rrugë më të shpejtë rikuperimi kur gjendet malware i fshehur, por instinkti i parë duhet të jetë ende verifikimi i bazës së të dhënave dhe sistemit të skedarëve për çdo gjë që nuk duhet të jetë aty.