Die von Sucuri / The Hacker News erwähnte WordPress-Backdoor SC klingt ziemlich unheimlich.
In einem einzigen Exemplar sind mindestens in 8 Positionen Hinterhalte eingebaut: Dateien, Datenbank und Shared Memory sichern sich gegenseitig ab. Wenn du das Plugin entfernst, schreibt ein Drop-in es wieder zurück; wenn die Dateien „sauber“ sind, kann beim nächsten Seitenaufruf trotzdem alles komplett aus der Datenbank oder aus dem Memory-Segment wiederhergestellt werden. Forschende sagen, es ähnle einem Kreislaufsystem, das sich „nicht mit einem einzelnen Punkt auseinandernehmen“ lässt.
Noch interessanter ist der Befehlsweg – da hängen etwa 20 öffentliche Ethereum-RPC-Gateways, und über einen Smart Contract wird per eth_call die Anweisung abgefragt. Selbst wenn traditionelle C2-Domains ausfallen, kann man auf andere Gateways umschalten und weitermachen. Außerdem: Plugins verstecken, Sicherheitssoftware löschen, versteckte Administratoren anlegen; im Frontend wird JS eingebaut, um beim Bezahlvorgang Seitenerfassung zu machen.
Noch ein Hinweis: Das ist die von kompromittierten Websites „missbrauchte“ Blockchain als Boten, nicht, dass das Ethereum-Netzwerk selbst ein Problem hat. Betreiber müssen zur Bereinigung die gesamte Seite durchgehend prüfen und bereinigen – nicht nur eine einzelne Datei löschen.
$ETH #安全 #WordPress
In einem einzigen Exemplar sind mindestens in 8 Positionen Hinterhalte eingebaut: Dateien, Datenbank und Shared Memory sichern sich gegenseitig ab. Wenn du das Plugin entfernst, schreibt ein Drop-in es wieder zurück; wenn die Dateien „sauber“ sind, kann beim nächsten Seitenaufruf trotzdem alles komplett aus der Datenbank oder aus dem Memory-Segment wiederhergestellt werden. Forschende sagen, es ähnle einem Kreislaufsystem, das sich „nicht mit einem einzelnen Punkt auseinandernehmen“ lässt.
Noch interessanter ist der Befehlsweg – da hängen etwa 20 öffentliche Ethereum-RPC-Gateways, und über einen Smart Contract wird per eth_call die Anweisung abgefragt. Selbst wenn traditionelle C2-Domains ausfallen, kann man auf andere Gateways umschalten und weitermachen. Außerdem: Plugins verstecken, Sicherheitssoftware löschen, versteckte Administratoren anlegen; im Frontend wird JS eingebaut, um beim Bezahlvorgang Seitenerfassung zu machen.
Noch ein Hinweis: Das ist die von kompromittierten Websites „missbrauchte“ Blockchain als Boten, nicht, dass das Ethereum-Netzwerk selbst ein Problem hat. Betreiber müssen zur Bereinigung die gesamte Seite durchgehend prüfen und bereinigen – nicht nur eine einzelne Datei löschen.
$ETH #安全 #WordPress
