أشار تقرير صادر عن شركة الأمن السيبراني "سوكوري" إلى وجود نوع من برمجيات "ووردبريس" الخبيثة يُعرف باسم "SC". وهذا ليس حصان طروادة عاديًا، بل هو مصمم ليبقى بعيدًا عن عمليات التنظيف التقليدية، ويعود للظهور حتى بعد إزالة الأجزاء الظاهرة من الفيروس. ويستغل هذا التهديد النسخ الاحتياطية وخدمات "إيثيريوم" العامة للحفاظ على قناة اتصاله.
تُعدّ هذه القضية ذات أهمية خاصة لمديري مواقع ووردبريس، بدءًا من المدونات الشخصية وصولًا إلى المتاجر الإلكترونية. ففي إسبانيا وبقية أوروبا، تعتمد العديد من المشاريع على نظام إدارة المحتوى هذا ، لذا قد يؤثر أي خلل مستمر على كلٍّ من مدير الموقع وزواره. وتشير التفاصيل التي نشرتها شركة Sucuri ونقلتها وسائل الإعلام المتخصصة إلى مشكلة لا يمكن حلها بمجرد حذف ملف واحد مشبوه.
ما هو برنامج SC الخبيث ولماذا يصعب إزالته؟
يتصرف برنامج SC كنظام إصلاح ذاتي . يمكن أن تظهر حمولته الخبيثة في الإضافات، والقوالب، وقاعدة البيانات، وحتى الخوادم المتوافقة مع ووردبريس. تدّعي شركة Sucuri أنها رصدت هذه الحمولة في ثمانية مواقع مختلفة على الأقل في وقت واحد، مما يدحض فكرة وجود نقطة ضعف واحدة يمكن تحديدها وإزالتها.
والنتيجة العملية مقلقة: إذا حذف المسؤول نسخةً واحدةً وترك أخرى بسعة كافية للعمل، فبإمكان البرمجية الخبيثة إعادة بناء نفسها واستعادة وجودها. هذا الانتشار يفسر سبب قصور الطرق التقليدية، القائمة على البحث عن ملف تالف أو قطع اتصال مركزي.
علاوة على ذلك، لا يقتصر دور SC على الاختباء فحسب، بل من بين قدراته تعطيل أدوات الأمان والاحتفاظ بصلاحيات المسؤول داخل ووردبريس. هذا يُعقّد عملية اكتشاف التغييرات، وقد يُطيل سيطرة المهاجم حتى بعد أن يعتقد الفريق المسؤول أنه قد أزال الثغرات من الموقع.
إيثيريوم كبنية تحتية للتحكم
أبرز ما يلفت الانتباه في التقرير هو استخدام بوابات RPC العامة الخاصة بشبكة إيثيريوم للتحكم والتوجيه. وتتضمن قائمة SC حوالي 20 مزودًا لخدمات RPC، وهي خدمات شرعية تتيح للتطبيقات والمحافظ والبرامج الأخرى التفاعل مع شبكة البلوك تشين.
بحسب الوصف، لم يخترق المهاجمون شبكة إيثيريوم أو يعبثوا ببروتوكولها. بل استغلوا البنية التحتية المتاحة للعموم لتزويد البرمجيات الخبيثة بالتعليمات. وفي حال تعطلت إحدى البوابات أو أصبحت غير مستجيبة، يمكن لـ SC تجربة بوابات أخرى مدرجة في قائمتها.
يقلل هذا التكرار من تأثير الحظر الفردي. لا ينبغي أن يعتمد الدفاع على حظر عنوان محدد فقط، لأن البرنامج لديه عدة مسارات بديلة . إن الجمع بين النسخ الداخلية والاتصالات الخارجية هو ما يجعل هذا النوع من البرامج تهديدًا مستمرًا بشكل خاص.
سرقة الجلسات، والحقن، ومخاطر الدفع
ومن القدرات الأخرى التي تم تسليط الضوء عليها جمع رموز جلسات المسؤول . فباستخدام هذه الرموز، يستطيع المهاجم الحفاظ على صلاحيات وصول مميزة أو الحصول عليها دون الاقتصار على تعديل المحتوى المرئي فقط. وهذا يفتح المجال لإجراء تغييرات جذرية ويجعل استعادة السيطرة على الحساب المخترق أمرًا صعبًا.
يمكن لـ SC أيضًا حقن جافا سكريبت في الجزء الظاهر للجمهور من الموقع. في متجر إلكتروني، قد يتم تشغيل هذا الكود أثناء عملية الدفع واستخدامه لالتقاط بيانات البطاقة أو بوابة الدفع. لا توضح المعلومات المتاحة عدد المواقع أو المعاملات المتأثرة.
قبل تنفيذ هجومه، يجمع البرنامج الخبيث معلومات تقنية عبر تقنية بصمة المتصفح : عناوين المواقع الإلكترونية وأسماء النطاقات، وإصدار ووردبريس، وإصدارات الإضافات المثبتة، وغيرها من البيانات التي تساعده على فهم إعدادات الجهاز المستهدف. وكلما زادت معرفة المهاجمين بالبيئة، سهُل عليهم تخطيط خطواتهم التالية.
ماذا يعني هذا بالنسبة للمواقع الإلكترونية في إسبانيا وأوروبا؟
على الرغم من أن التقرير لا يقدم إحصاءات خاصة بكل دولة، إلا أن أي موقع ووردبريس مُثبّت في إسبانيا أو أوروبا قد يكون هدفًا للهجمات إذا كان يستخدم إضافات قديمة أو يتمتع بصلاحيات ضعيفة. ونظرًا لطبيعة هذه الهجمات العابرة للحدود، فإن الموقع الجغرافي وحده لا يُشكّل عائقًا.
ينبغي على مديري المواقع الإلكترونية مراجعة النسخ الاحتياطية والسجلات والملفات المُعدّلة، مع الانتباه إلى أن التنظيف الجزئي قد لا يكون كافيًا. كما يُنصح بفحص الجلسات النشطة، ومستخدمي الإدارة، وأي أكواد غير معتادة في القوالب أو الإضافات.
في التجارة الإلكترونية، يُضيف خطر اختراق المدفوعات مزيدًا من الضغط. فإذا تمكنت البرامج الضارة من الوصول إلى الموقع وحقن البرامج النصية، فإن ثقة المستخدمين ستتأثر سلبًا. ولا يقتصر الأمر على استعادة الموقع فحسب، بل يتعلق أيضًا بمنع وصول بيانات العملاء إلى أيدي غير أمينة.
يُوضح تنبيه Sucuri أمرًا واحدًا: لا يُمكن حلّ مشكلة SC بعملية تنظيف واحدة. فقدرتها على الانتشار عبر مكونات متعددة ، واستخدامها لبوابات Ethereum RPC، وقدرتها على سرقة الجلسات أو حقن التعليمات البرمجية، تجعلها تهديدًا يصعب القضاء عليه. بالنسبة للمسؤولين، تكمن الأولوية في مراجعة بيئة WordPress بأكملها بدقة، والحفاظ على التحديثات مُحدّثة، وإدراك أن الإصابة بهذا النوع من البرامج الضارة تتطلب استجابة شاملة تتجاوز مجرد حذف ملف واحد.
