هکرها از MU-Plugins وردپرس برای مخفی کردن کد مخرب سوءاستفاده می‌کنند

هکرها از دایرکتوری “Must-Use Plugins” (mu-plugins) وردپرس برای اجرای مخفیانه کدهای مخرب در تمام صفحات وب‌سایت‌ها استفاده می‌کنند و از تشخیص فرار می‌کنند. محققان امنیتی شرکت Sucuri این تکنیک را برای اولین بار در فوریه ۲۰۲۵ مشاهده کردند، اما میزان استفاده از آن رو به افزایش است و مهاجمان اکنون از این پوشه برای اجرای سه نوع مختلف کد مخرب استفاده می‌کنند. پوجا سریواستاوا، تحلیلگر امنیتی Sucuri توضیح می‌دهد: “این واقعیت که ما آلودگی‌های زیادی در mu-plugins مشاهده کرده‌ایم نشان می‌دهد که مهاجمان به طور فعال این دایرکتوری را به عنوان پایگاهی پایدار هدف قرار می‌دهند.”

افزونه‌های Must-Use نوع خاصی از افزونه‌های وردپرس هستند که به طور خودکار در هر بارگذاری صفحه اجرا می‌شوند بدون نیاز به فعال‌سازی در پنل مدیریت. Sucuri سه نوع بارگذاری مخرب کشف کرده که مهاجمان در دایرکتوری mu-plugins قرار می‌دهند: redirect.php که بازدیدکنندگان را به وب‌سایت مخرب هدایت می‌کند، index.php که به عنوان وب‌شل (webshell) عمل کرده و کد PHP از مخزن GitHub دریافت و اجرا می‌کند، و custom-js-loader.php که جاوااسکریپتی بارگذاری می‌کند تا تمام تصاویر سایت را با محتوای نامناسب جایگزین کند. این حملات بخشی از عملیات‌های انگیزه مالی به نظر می‌رسند و می‌توانند به شدت به شهرت سایت و امتیازات SEO آسیب برسانند.