Un rapporto della società di sicurezza Sucuri ha evidenziato una variante di malware per WordPress nota come SC. Non si tratta di un normale Trojan: è progettato per sopravvivere alle procedure di rimozione convenzionali e riemergere anche dopo l'eliminazione delle parti visibili dell'infezione. La minaccia sfrutta copie ridondanti e i servizi pubblici di Ethereum per mantenere attivo il proprio canale di comunicazione.
Questo caso riveste particolare interesse per chi gestisce siti web WordPress, dai blog personali ai negozi online. In Spagna e nel resto d'Europa, molti progetti si affidano a questo sistema di gestione dei contenuti , pertanto un'infezione persistente può finire per colpire sia l'amministratore che i visitatori. I dettagli pubblicati da Sucuri e riportati da testate specializzate indicano un problema che non si risolve semplicemente eliminando un singolo file sospetto.
Che cos'è il malware SC e perché è così difficile da rimuovere?
SC si comporta come un sistema autoriparante . Il suo payload dannoso può comparire in plugin, temi, database e persino server compatibili con WordPress. Sucuri afferma di aver rilevato questo payload in almeno otto posizioni diverse contemporaneamente, il che smentisce l'idea di un singolo punto di vulnerabilità individuabile ed eliminabile.
La conseguenza pratica è preoccupante: se l'amministratore elimina una copia e ne lascia un'altra con capacità sufficiente per funzionare, il malware può ricostruirsi e riprendere il controllo. Questa distribuzione spiega perché i metodi tradizionali, basati sulla ricerca di un file corrotto o sull'interruzione di una connessione centrale, possono risultare inefficaci.
Inoltre, SC non si limita a nascondersi. Tra le sue funzionalità vi è la capacità di disabilitare gli strumenti di sicurezza e mantenere l'accesso a livello di amministratore all'interno di WordPress. Ciò complica l'individuazione delle modifiche e può prolungare il controllo dell'attaccante anche dopo che il team responsabile ritiene di aver ripulito il sito.
Ethereum come infrastruttura di comando
L'aspetto più rilevante del rapporto è l'utilizzo dei gateway RPC pubblici di Ethereum per il comando e il controllo. SC include un elenco di circa 20 provider RPC , ovvero servizi legittimi che consentono ad applicazioni, portafogli e altri software di interagire con la rete blockchain.
Secondo la descrizione, gli aggressori non hanno violato Ethereum né compromesso il suo protocollo. Piuttosto, sfruttano infrastrutture pubblicamente disponibili per fornire istruzioni al malware. Se un gateway si blocca o smette di rispondere, SC può provare con altri presenti nel suo elenco.
Questa ridondanza riduce l'impatto di un singolo blocco. La difesa non dovrebbe basarsi esclusivamente sul blocco di un indirizzo specifico, poiché il programma dispone di diverse vie alternative . La combinazione di copie interne e connessioni esterne è ciò che rende questa variante una minaccia particolarmente persistente.
Furto di sessioni, iniezioni e rischio di pagamento
Un'altra funzionalità evidenziata è la raccolta di token di sessione amministrativa . Grazie a questi, l'attaccante può mantenere o ottenere l'accesso privilegiato senza essere limitato alla modifica dei contenuti visibili. Ciò apre la strada a modifiche profonde e rende difficile riprendere il controllo di un account compromesso.
SC può anche iniettare codice JavaScript nella parte pubblica di un sito. In un negozio online, questo codice potrebbe essere eseguito durante il processo di pagamento e utilizzato per acquisire dati della carta o del gateway di pagamento. Le informazioni disponibili non specificano quanti siti o transazioni siano stati interessati.
Prima di agire, il malware raccoglie informazioni tecniche tramite fingerprinting : URL e nomi host, versione di WordPress, versioni dei plugin installati e altri dati che lo aiutano a comprendere la configurazione del bersaglio. Maggiore è la conoscenza che gli aggressori hanno dell'ambiente, più facile sarà per loro pianificare le mosse successive.
Che cosa significa questo per i siti web in Spagna e in Europa?
Sebbene il rapporto non fornisca dati specifici per paese, qualsiasi installazione di WordPress in Spagna o in Europa può essere un bersaglio se utilizza plugin obsoleti o ha permessi deboli. La natura transfrontaliera di questi attacchi significa che la sola posizione geografica non rappresenta un ostacolo.
Gli amministratori di siti web dovrebbero esaminare i backup , i log e i file modificati, ma è importante tenere presente che una pulizia parziale potrebbe non essere sufficiente. Si consiglia inoltre di controllare le sessioni attive, gli utenti amministratori e qualsiasi codice insolito nei template o nelle estensioni.
Nel commercio elettronico, il rischio legato ai pagamenti rappresenta un'ulteriore fonte di pressione. Se un malware mantiene l'accesso e riesce a iniettare script, la fiducia degli utenti viene compromessa. Non si tratta solo di ripristinare il sito web, ma di impedire che i dati dei clienti finiscano nelle mani sbagliate.
L'avviso di Sucuri chiarisce un punto: SC non è un problema che si risolve con una singola operazione di pulizia. La sua capacità di replicarsi su più componenti , l'utilizzo dei gateway RPC di Ethereum e la sua capacità di rubare sessioni o iniettare codice lo rendono una minaccia difficile da eradicare. Per gli amministratori, la priorità è esaminare a fondo l'intero ambiente WordPress, mantenere gli aggiornamenti sempre aggiornati e comprendere che un'infezione di questo tipo richiede una risposta più ampia rispetto alla semplice eliminazione di un singolo file.
