حملات وردپرس و وب‌شل C۹۹
به گزارش واحد امنیت سایبربان؛ آی‌بی‌ام گزارش داده است که نزدیک به ۱۰۰۰ حمله را در ماه‌های مارس و فوریه شناسایی کرده است که نشان‌دهنده رشد ۴۵ درصدی نسبت به دوره قبل از آن است. این نوع C۹۹ که در این حملات استفاده‌شده است، در حال حاضر به‌وسیله ۳۷ محصول امنیتی بر پایه امضای آن شناسایی می‌شود.
این حمله با یک پرونده به نام pagat.txt شروع می‌شود که شامل یک اسکریپت PHP مبهم است و در یک وب‌گاه آلوده‌شده بارگذاری می‌شود. با مبهم کردن این اسکریپت، مهاجمان امیدوار هستند که بخت خود را برای فرار از سامانه‌های کشف و شناسایی و گذر از دیواره‌های آتش نرم‌افزارهای وب افزایش دهند.
هنگامی‌که این اسکریپت رمزگشایی‌شده و بر روی یک کارگزار قربانی اجرا شد، یک رایانامه به مهاجم ارسال می‌شود و به او اطلاع می‌دهد که هدف آلوده‌شده است.
آنگاه مهاجم می‌تواند به وب‌شِل از طریق مرورگر دسترسی یابد و شروع به اجرای دستورات شِل روی کارگزار کند.
علاوه بر این وب‌شِل به این عاملان مخرب اجازه می‌دهد تا پرونده‌های خود را بارگذاری کنند و با استفاده از آن‌ها کارهای مختلفی را صورت دهند.
یک جستجو در گوگل نشان می‌دهد که پرونده pagat.txt هم‌اکنون بر روی صدها وب‌گاه در دسترس قرار دارد. اگرچه تنها ۹ محصول امنیتی از ۶۸ محول در VirusTotal (وب‌گاه معروف ویروس توتال که به‌منظور شناسایی بدافزارها از آن استفاده می‌شود) این اسکریپت را به‌عنوان یک پرونده‌ی آلوده شناسایی کرده‌اند.
بر اساس گفته‌های شرکت امنیتی آی‌بی‌ام، این نوع از وب‌شل C۹۹ با اطمینان از اینکه نصب وردپرس به‌وسیله هیچ نوعی از آسیب‌پذیری‌ها موردحمله قرار نگرفته است، حمله‌ی خود را شروع می‌کند و افزونه‌های امنیتی را نصب‌کرده و تغییرات پیش‌فرض را تغییر می‌دهد و تا آنجا که ممکن باشد روند نصب را سفارشی می‌کند و نام پوشه‌های بارگذاری را تغییر داده و همه پرونده‌هایی را که به وب‌گاه بارگذاری می‌شوند، بررسی می‌کند.
همچنین آی‌بی‌ام به گردانندگان وب‌گاه‌ها یادآوری می‌کند که اگر وب‌گاه آن‌ها مورد نفوذ قرار گرفت، آن‌ها باید در نظر داشته باشند که هر چیزی که نیاز به اعتبارسنجی داشته باشد، ازجمله اعتبارنامه‌های آن‌ها مورد خطر قرارگرفته است.
استفاده از وب‌شل‌ها بسیار شایع است. سیسکو گزارش داد که وب‌شل‌هایی را بر روی هزاران کارگزار کشف کرده که توسط دولت‌ها، مدارس و دیگر سازمان‌ها اداره می‌شوند.
