کمپین بدافزاری وردپرس، بارهای مخرب را در پروفایل‌های استیم پنهان می‌کند

نزدیک به ۲۰۰۰ وب‌سایت وردپرسی به بدافزاری آلوده شده‌اند که از نظرات پروفایل کاربران در پلتفرم Steam Community برای پنهان‌سازی داده‌های فرمان و کنترل (command-and-control/C2) استفاده می‌کند. مهاجمان با بهره‌گیری از کاراکترهای نامرئی یونیکد (Unicode) — از جمله Zero-width joiner و Invisible separator — یک بار مخرب (payload) را در متن ظاهراً عادی کامنت‌های Steam پنهان کرده‌اند که پس از رمزگشایی، آدرسی به یک اسکریپت مخرب می‌سازد و کد جاوااسکریپت را در تمام صفحات وردپرس تزریق می‌کند. محققان امنیتی شرکت GoDaddy که این کمپین را از جولای ۲۰۲۵ رصد کرده‌اند، اعلام کردند مهاجمان با استفاده از زیرساخت Valve از نگهداری سرور C2 مستقل بی‌نیاز شده و از روش‌های سنتی شناسایی فرار می‌کنند.

در مرحله نهایی حمله، یک درب پشتی (backdoor) نصب می‌شود که به درخواست‌های POST حاوی کوکی احراز هویت خاص پاسخ داده و اجرای کد PHP را ممکن می‌سازد. بدافزار همچنین از مکانیزم‌های فرار متعددی مانند رشته‌های مبهم‌سازی‌شده، نام‌های تابع تصادفی و استفاده از APIهای استاندارد وردپرس بهره می‌برد تا در میان فعالیت‌های عادی سایت ناشناس بماند. محققان GoDaddy توصیه می‌کنند مدیران سایت در اولین اقدام از یک نسخه پشتیبان سالم پیش از تاریخ آلودگی بازیابی کنند، زیرا در صورت باقی ماندن هر بخشی از بدافزار، مهاجمان می‌توانند کدهای حذف‌شده را از طریق درب پشتی مجدداً نصب کنند.