افزونه وردپرس با پوشش ابزار امنیتی، بک‌دور تزریق می‌کند

یک کمپین بدافزار جدید سایت‌های وردپرس را هدف قرار داده و از یک پلاگین مخرب که به عنوان ابزار امنیتی جا زده شده استفاده می‌کند تا کاربران را فریب دهد. این بدافزار که توسط محققان Wordfence کشف شده، دسترسی مداوم، اجرای کد از راه دور و تزریق جاوااسکریپت را برای مهاجمان فراهم می‌کند و در عین حال از داشبورد پلاگین‌ها پنهان می‌ماند. بدافزار فایل wp-cron.php را تغییر داده و پلاگین مخربی به نام WP-antymalwary-bot.php ایجاد می‌کند که حتی در صورت حذف، مجدداً بازسازی و فعال می‌شود.

پس از فعال شدن، این پلاگین دسترسی مدیریتی فوری را از طریق تابع emergency_login_all_admins فراهم کرده و یک مسیر REST API غیرمجاز ثبت می‌کند که امکان تزریق کد PHP دلخواه در فایل‌های header.php قالب‌ها را می‌دهد. نسخه‌های به‌روزشده این بدافزار همچنین قابلیت تزریق جاوااسکریپت رمزگذاری شده در بخش head سایت را دارند که احتمالاً برای نمایش تبلیغات، اسپم یا هدایت بازدیدکنندگان به سایت‌های ناامن استفاده می‌شود. مالکان وب‌سایت باید فایل‌های wp-cron.php و header.php را برای تغییرات غیرمنتظره بررسی کنند.