
Image by Souvik Banerjee, from Unsplash
برنامج ضار جديد يتنكر كإضافة مكافحة البرامج الضارة على ووردبريس
برمجية خبيثة جديدة لـ WordPress تتنكر بأنها إضافة مكافحة البرمجيات الخبيثة تتيح للمهاجمين الوصول عن بعد، حيث تم طرح تحديثات الإجراءات الأمنية من قبل Wordfence.
في عجلة من أمرك؟ هنا الحقائق السريعة:
- برنامج ضار جديد، “WP-antymalwary-bot.php”، يتنكر على أنه إضافة مكافحة البرمجيات الخبيثة على ووردبريس.
- يمنح البرنامج الضار المهاجمين الوصول إلى لوحات التحكم في الموقع وينفذ الأكواد عن بُعد.
- يمكن للمهاجمين حقن جافا سكريبت الخبيثة وإعادة توجيه الزوار إلى مواقع ضارة.
تم اكتشاف نوع جديد من البرمجيات الخبيثة على مواقع ووردبريس، مُتنكرًا على هيئة مكون إضافي مضاد للبرامج الخبيثة. تم التعرف عليه من قِبل محللي الأمان في Wordfence باسم “WP-antymalwary-bot.php”، وهذا البرنامج الخبيث يتيح للمهاجمين الوصول إلى لوحات تحكم المواقع مع البقاء غير مرئيين للمشرفين، ونتيجة لذلك، يتيح تنفيذ الأكواد الضارة عن بُعد.
تم اكتشاف البرمجية الخبيثة لأول مرة بواسطة Wordfence في 22 يناير 2025، خلال عملية تنظيف الموقع الروتينية. يعمل البرنامج المساعد كأداة ووردبريس عادية ولكنه يحتوي على ميزة أمر خلفية تمكن المهاجمين من تنفيذ تسجيلات دخول المدير.
تحافظ البرمجية الخبيثة على الاتصال بخادم الأوامر والتحكم (C&C)، مما يتيح للمهاجمين إصدار الأوامر عن بُعد. كما يتيح للمهاجمين توزيع البرامج الخبيثة عن طريق إضافة رمز JavaScript الخبيث إلى دلائل أخرى.
لتزيد الأمور سوءًا، تقارير Wordfence تؤكد أن البرمجيات الخبيثة تخفي نفسها من قائمة الإضافات في ووردبريس، مما يجعلها أكثر صعوبة لأصحاب المواقع لاكتشافها. كما تستخدم البرمجية الخبيثة مخطط المهام في ووردبريس للحفاظ على وجودها في الموقع. وهذا يعني أنه إذا تمت إزالة الإضافة الخبيثة، يمكن أن تظهر البرمجية الخبيثة ببساطة مرة أخرى بعد زيارة الموقع مرة أخرى.
كما تتواصل البرمجيات الخبيثة مع خادم في قبرص، وترسل له المعلومات وربما تتلقى تعليمات أخرى. تقارير Wordfence تشير إلى أن نسخًا جديدة من البرمجيات الخبيثة تستمر في الظهور، بما في ذلك واحدة تجدول أحداثًا منتظمة لمواصلة الهجوم.
توصي الخبراء مستخدمي WordPress بالبقاء يقظين وتحديث إضافات الأمان الخاصة بهم.