Злоумышленники используют профили Steam для управления атаками на сайты WordPress

Эксперты по кибербезопасности из компании GoDaddy выявили необычную схему распространения вредоносного ПО. Хакеры используют раздел комментариев в игровом сервисе Steam в качестве инфраструктуры управления и контроля (C2) для заражения веб-ресурсов на базе WordPress.

Механика атаки и использование Steam

Процесс заражения начинается с поиска уязвимых сайтов WordPress или порталов с ненадежными учетными данными. Злоумышленники внедряют вредоносный PHP-код в файлы активных тем оформления, например, в functions.php. Этот код выполняет две функции: внедряет JavaScript на страницы сайта и создает бэкдор — скрытый вход для удаленного управления сервером.

При каждом посещении зараженного сайта вредоносное ПО связывается с одним из нескольких профилей в Steam Community и считывает содержимое комментариев. Внешне эти записи выглядят как бессмысленный набор слов, однако они содержат скрытые символы Unicode, в которых зашифрована полезная нагрузка.

Скрытая передача данных

В обзоре отмечается, что подобная кодировка позволяет встраивать двоичные данные в текст, который кажется обычным. Видимые символы служат камуфляжем, в то время как невидимые несут основную нагрузку. Вредоносная программа извлекает эти символы и преобразует их обратно в рабочий код, получая URL-адрес, подконтрольный хакерам.

После этого сайт загружает поддельный JavaScript-файл, который маскируется под стандартную программную библиотеку. В результате браузеры посетителей автоматически скачивают и запускают опасный код, заражая свои устройства в процессе просмотра страниц.

Масштабы угрозы и рекомендации по защите

С момента обнаружения кампании в июле прошлого года было зафиксировано заражение почти 2000 сайтов на WordPress. Исследователи выделяют две группы целей: сами веб-ресурсы и их аудиторию. На текущий момент полный перечень действий, которые вирус выполняет на устройствах конечных пользователей, остается неясным.

Для обеспечения безопасности администраторам сайтов рекомендуется:

• Проверить исходный код на наличие несанкционированных ссылок на домены Steam Community;
• Провести аудит внешних инъекций JavaScript;
• Проанализировать исходящие соединения с сервера WordPress на предмет подозрительной активности в сторону платформы Steam.

Твитнуть