هجوم إضافات وهمية على ووردبريس: كيف يتم سرقة بيانات المستخدمين وإخفاء البرمجيات الخبيثة

أرجعت شركة Trustwave SpiderLabs هذا الهجوم إلى شبكة توزيع ترافيك معروفة باسم:

• Kongtuke
• وتُعرف أيضًا باسم:
  • 404 TDS
  • Chaya_002
  • LandUpdate808
  • TAG-124

الشبكة تُستخدم لشن هجمات متقدمة تستهدف المواقع لتحويل الزوار إلى نقاط استغلال.

• مراجعة جميع الإضافات المثبتة والتأكد من مصادرها الرسمية
• فحص الشفرة المصدرية للأضافة بحثًا عن أي تعديل غير طبيعي
• مسح شامل للموقع باستخدام أدوات أمنية مثل Wordfence أو Sucuri
• التحقق من وجود ملفات غير معروفة مثل .gif.php أو .jpg.php
• مراجعة سجلات الوصول بحثًا عن عمليات تنزيل أو تنفيذ غير عادية
• إيقاف تشغيل أي إضافات غير مُحدَّثة منذ فترة طويلة

• استخدم ماسح أمني لمراجعة الملفات المعدلة مؤخرًا
• راجع قائمة الإضافات المثبتة واحذف أي منها غير ضروري
• تأكد من تحديث جميع الإضافات والمظهر الخارجي (Themes) إلى آخر إصدار
• قم بإعداد نسخ احتياطية منتظمة من قاعدة البيانات والملفات
• راقب استخدام المنفذين 8080 و3000 حيث قد تشير إلى استخدام Node.js خبيث

“البرنامج الخبيث ليس مجرد أداة سرقة بيانات، بل هو بوابة خلفية متقدمة تدعم التحكم الكامل في الموقع واستهداف الزوار.”