Изследователи по киберсигурност разкриха подробности за компрометиране на WordPress, при което атакуващите са използвали множество механизми за запазване на присъствието, за да гарантират, че крайният злонамерен код продължава да се връща, без да се налага повторно инфектиране на сайта.

Задната врата е получила кодовото име SC поради маркерите „SC_“, налични в инжектираното съдържание. Sucuri описва зловредния софтуер като „самолекуваща се мрежа“, контролирана през блокчейн.

„Злонамереният код съществува на поне осем места едновременно, разпределен между файлове, базата данни и споделената памет, и всяко едно от тези места може да възстанови всички останали“, заявява изследователят по сигурността Габриел Барбоза.

„Изтрийте плъгина и drop-in файлът го пренаписва. Изтрийте drop-in файла и темата го пренаписва. Изчистете всеки файл на диска и следващото зареждане на страницата възстановява целия комплект от базата данни или от сегмент в споделената памет. Резултатът е циркулярна система без единична точка, чието премахване да я спре.“

Според Sucuri зловредният софтуер няма четливи имена на функции, а вместо това използва декодер за декриптиране на кода чрез шифър за заместване. Описанието на осемте компонента е следното:

  • .user.ini, който настройва „auto_prepend_file“ да изпълнява зареждащ модул (loader) преди всяка PHP заявка в това файлово дърво.
  • wp-content/c1b12371.php, зареждащият модул, който включва скрит файл с префикс точка, ако такъв съществува на същото място.
  • wp-content/.c1b12371.php, скритият файл с префикс точка, който действа като зареждащ модул от първ етап, за да локализира фалшив плъгин и да го възстанови в mu-plugins от три източника: съществуващо копие в папката с плъгини, кодиран фрагмент в директорията с кеш и ZIP архив за възстановяване със произволно хексадесетично име.
  • wp-content/db.php, който се зарежда по време на първоначалното стартиране (bootstrap) и съдържа целия зловреден код на задната врата в компресиран, Base64-кодиран формат. Той декодира и отново внедрява плъгина винаги, когато той липсва или е твърде малък.
  • wp-content/advanced-cache.php, който се зарежда от WordPress преди обикновените плъгини, когато кеширането е активирано, и възстановява плъгина от пет независими източника: съществуващ mu-plugin, съществуващо копие на плъгина, System V сегмент от споделена памет, съдържащ PHP, ZIP архив и базата данни. След това се закача за plugins_loaded и го включва.
  • wp-content/themes/khorshidi/functions.php, намиращ се в темата близнак на db.php, който разполага със същата задна врата и пренаписва плъгина всеки път, когато той не присъства.
  • wp-content/mu-plugins/hyper-engine-kit.php, същинският зловреден софтуер, инсталиран както като задължителен за използване плъгин (must-use plugin), така и като нормален плъгин.
  • wp-content/plugins/hyper-engine-kit/hyper-engine-kit.php, дубликат на същия зловреден код с цел дублиране и излишък.

Независимо от метода, използван за стартиране на задната врата, тя извършва редица действия, включително скриване от администраторския екран за плъгини или при проверки за актуализации, комуникация със сървър за управление и контрол (C2) чрез блокчейна на Ethereum, идентифициране на заразения сайт и извличане на допълнителен зловреден код, създаване на скрит администраторски акаунт и стартиране на цикъла за повторно заразяване.

Възможностите на задната врата позволяват на оператора да поеме контрол върху сайта на WordPress, да извлича произволен JavaScript код, който да инжектира и да насочва към посетителите на сайта скимъри (или друг зловреден софтуер), да изпълнява PHP код и да деактивира или изтрива специфични плъгини.

„На сървъри, които поддържат System V споделена памет, злонамереният код се записва в сегмент, идентифициран от фиксиран числов ключ“, посочват от Sucuri. „Този сегмент се намира в RAM паметта, така че оцелява както при изтриване на файлове, така и при почистване на база данни, а при споделен хостинг може дори да бъде собственост на различен акаунт.“

„Инфекцията регистрира cron куки (cron hooks), включително рандомизирани имена до позната кука за извличане. Системният cron изпълнява cron файла на WordPress, а не трафика от посетители, след което задейства повторно внедряване по график.“

Към момента не е известно как зловредният софтуер се доставя до сайта на WordPress. Типичните вектори за първоначален достъп обаче включват познати пропуски в сигурността в WordPress, плъгини и теми; слаби идентификационни данни за вход; атаки срещу веригата за доставки на софтуер, насочени към популярни плъгини; и експлоатация на несигурни функции за качване на медия или форми с цел качване на PHP уеб шелове в сървърните директории.

„SC е напомняне, че съвременна инфекция на WordPress може да бъде цяла система, а не просто файл“, казват от Sucuri. „Този набор от инструменти разпространява идентични копия на една задна врата в drop-in файлове, темата, фалшив плъгин на две места, базата данни и споделената памет, крие своя канал за управление в легитимна блокчейн инфраструктура и се пренаписва от всяко оцеляло копие при следващата заявка.“

Експлоатира се уязвимост в WordPress плъгина wpForo Forum

Разкритието идва в момент, когато уязвимост от висока степен на критичност за неавтентикиран SQL injection в плъгина wpForo Forum за WordPress (CVE-2026-1581, CVSS оценка: 7.5) е обект на активна експлоатация. Проблемът засяга всички версии на плъгина до 2.4.14 включително.

Според телеметрични данни от Previdian са наблюдавани по-малко от 20 опита за експлоатация, насочени към уязвимостта от 3 юли 2026 г. насам. Активността произлиза от пет уникални IP адреса на атакуващи, разположени в България, Швейцария, Франция, САЩ и Йемен.