إعادة بناء بوابة ووردبريس الخلفية: آليات الاستمرارية والتأثيرات

تتناول هذه المقالة كيفية إعادة بناء بوابة ووردبريس الخلفية بعد التنظيف، مع التركيز على آليات الاستمرارية التي تستخدمها البرمجيات الخبيثة.

إعادة بناء بوابة ووردبريس الخلفية بعد التنظيف باستخدام الملفات، قاعدة البيانات، والذاكرة المشتركة

ألقى الباحثون في مجال الأمن السيبراني الضوء على اختراق ووردبريس حيث قام المهاجمون بنشر آليات متعددة للحفاظ على استمرارية الحمولة النهائية دون الحاجة إلى إصابة الموقع مرة أخرى.

تمت تسمية البوابة الخلفية بـ SC استنادًا إلى علامات “SC_” الموجودة في المحتوى المُحقن. وصفت Sucuri البرمجيات الخبيثة بأنها “شبكة ذاتية الشفاء” تتحكم بها تقنية البلوك تشين.

“تعيش الحمولة في ثمانية أماكن على الأقل في وقت واحد، منتشرة عبر الملفات، قاعدة البيانات، والذاكرة المشتركة، وكل واحد من هذه الأماكن يمكنه إعادة بناء الآخرين”، قال الباحث الأمني غابرييل باربوسا.

“احذف الإضافة، وسيتولى إدراجها. احذف الإدراج، وسيتولى القالب إدراجها. نظف كل ملف على القرص، وفي تحميل الصفحة التالي، سيتم استعادة المجموعة الكاملة من قاعدة البيانات أو من جزء الذاكرة المشتركة. النتيجة هي نظام دائري دون نقطة واحدة يمكنك إزالتها لإيقافه.”

وفقًا لـ Sucuri، لا تحتوي البرمجيات الخبيثة على أسماء وظائف قابلة للقراءة، بل تستخدم فك تشفير لفك تشفير الكود باستخدام شيفرة استبدال. فيما يلي ملخص للمكونات الثمانية:

• .user.ini، الذي يحدد “auto_prepend_file” لتشغيل محمل قبل كل طلب PHP في شجرة الدليل تلك.
• wp-content/c1b12371.php، المحمل الذي يتضمن ملفًا مخفيًا مع نقطة في بدايته إذا كان موجودًا في نفس الموقع.
• wp-content/.c1b12371.php، الملف المخفي الذي يعمل كمحمّل للمرحلة الأولى للعثور على إضافة مزيفة وإعادة بنائها في mu-plugins من ثلاثة مصادر: نسخة موجودة في مجلد الإضافات، كود مشفر في دليل التخزين المؤقت، وحزمة استعادة ZIP باسم سداسي عشوائي.
• wp-content/db.php، الذي يتم تحميله أثناء التمهيد ويحمل الحمولة الكاملة للبوابة الخلفية بتنسيق مضغوط ومشفر Base64. يقوم بفك تشفير وإعادة نشر الإضافة كلما كانت مفقودة أو صغيرة جدًا.
• wp-content/advanced-cache.php، الذي يتم تحميله بواسطة ووردبريس قبل الإضافات العادية عند تمكين التخزين المؤقت، ويعيد بناء الإضافة من خمسة مصادر مستقلة: إضافة mu-plugin موجودة، نسخة موجودة من الإضافة، جزء ذاكرة مشتركة من نظام V يحمل PHP، حزمة ZIP، وقاعدة البيانات. ثم يقوم بتوصيل plugins_loaded ويشملها.
• wp-content/themes/khorshidi/functions.php، توأم مقيم في القالب لـ db.php الذي يحتوي على نفس البوابة الخلفية ويعيد كتابة الإضافة في كل مرة لا تكون موجودة.
• wp-content/mu-plugins/hyper-engine-kit.php، البرمجيات الخبيثة الفعلية التي تم تثبيتها كإضافة يجب استخدامها وإضافة عادية.
• wp-content/plugins/hyper-engine-kit/hyper-engine-kit.php، نسخة مكررة من نفس الحمولة الخلفية للموثوقية.

بغض النظر عن الطريقة المستخدمة لإطلاق البوابة الخلفية، تقوم بعدد من الإجراءات، بما في ذلك إخفاء نفسها من شاشة إضافات الإدارة أو في فحوصات التحديث، والتواصل مع خادم القيادة والتحكم (C2) باستخدام تقنية البلوك تشين، وتحديد بصمة الموقع المصاب واسترداد الحمولات الإضافية، وإنشاء حساب مسؤول مخفي، وتشغيل حلقة إعادة الإصابة.

تسمح قدرات البوابة الخلفية للمشغل بالتحكم في موقع ووردبريس، وجلب جافا سكريبت عشوائية للحقن واستهداف زوار الموقع بالبرمجيات الخبيثة، وتشغيل كود PHP، وتعطيل أو حذف إضافات معينة.

“على الخوادم التي تدعم الذاكرة المشتركة من نوع System V، يتم كتابة الحمولة في جزء يتم تحديده بواسطة مفتاح رقمي ثابت”، قالت Sucuri. “تعيش تلك الجزء في الذاكرة، لذا فهي تبقى على قيد الحياة بعد حذف الملفات وتنظيف قاعدة البيانات، وعلى الاستضافة المشتركة يمكن أن تكون مملوكة حتى لحساب مختلف.”

“يسجل الاختراق وظائف cron، بما في ذلك أسماء عشوائية إلى جانب وظيفة جلب معروفة. يقوم cron النظام بتشغيل ملف cron الخاص بووردبريس، وليس حركة مرور الزوار، ثم يقوم بتفعيل إعادة النشر وفقًا للجدول الزمني.”

حاليًا، لا يُعرف كيف تم تسليم البرمجيات الخبيثة إلى موقع ووردبريس. ومع ذلك، تشمل طرق الوصول الأولية الشائعة الثغرات الأمنية المعروفة في ووردبريس، والإضافات، والقوالب؛ بيانات اعتماد تسجيل دخول ضعيفة؛ هجمات سلسلة التوريد البرمجية التي تستهدف الإضافات الشائعة؛ واستغلال ميزات تحميل الوسائط أو النماذج غير الآمنة لدفع قذائف PHP إلى أدلة الخادم.

“SC تذكير بأن عدوى ووردبريس الحديثة يمكن أن تكون نظامًا بدلاً من ملف”، قالت Sucuri. “تنتشر هذه المجموعة نسخًا متطابقة من بوابة خلفية واحدة عبر الإدراجات، القالب، إضافة مزيفة في موقعين، قاعدة البيانات، والذاكرة المشتركة، تخفي قناتها القيادية داخل بنية البلوك تشين الشرعية، وتعيد كتابة نفسها من أي نسخة باقية في الطلب التالي مباشرة.”

استغلال ثغرة إضافة wpForo Forum في ووردبريس

يأتي هذا الكشف كخطأ SQL غير مصادق عليه عالي الخطورة في إضافة wpForo Forum (CVE-2026-1581، درجة CVSS: 7.5) التي تعرضت للاستغلال النشط. تؤثر المشكلة على جميع إصدارات الإضافة حتى، بما في ذلك، 2.4.14.

وفقًا لبيانات التليمتري من Previdian، تم رصد أقل من 20 محاولة استغلال تستهدف الثغرة منذ 3 يوليو 2026. وقد نشأت الأنشطة من خمس عناوين IP مهاجمة فريدة تقع في بلغاريا، سويسرا، فرنسا، الولايات المتحدة، واليمن.

تذكر دائمًا أهمية الحفاظ على أمان موقع ووردبريس الخاص بك من خلال تحديث الإضافات والقوالب بانتظام ومراقبة أي نشاط مشبوه.