Wordfence: плагин, который скрывается от админки
В подборке за неделю встретил статью от Wordfence о новом вредоносном плагине, который устанавливается как must-use и скрывается от админки. Сразу понял — это не про очередное обновление, а про методы, которые уже используются в реальных атаках. Плагин маскируется под системный файл, не показывается в списке плагинов, даже в разделе must-use, и может восстанавливать себя после удаления. Уязвимость здесь не в версии, а в том, что такие плагины работают без проверки — и если у сайта есть доступ к нестандартным файлам, он уже под угрозой.
Плагин устанавливается под видом автоматического проверяющего скрипта, но на деле — это нечто большее. Он использует кастомную обфускацию: обычные функции WordPress видны, но их параметры — имена хуков, пути, ключи опций — скрыты в зашифрованном виде. Даже если посмотреть код, расшифровать его не так просто. Ещё один трюк — замена символов в SQL-запросах на шестнадцатеричные коды, чтобы не привлекать внимание. А самое опасное — он создаёт админ-аккаунт с рандомным именем и паролем, сохраняя его в опциях, чтобы вернуться позже. Это не просто вредонос, это система доступа.
Считаю, что главная угроза — не в конкретной уязвимости, а в том, что такие плагины могут быть установлены через уязвимость в теме, плагине или даже через утечку данных. Если у сайта есть доступ к редактированию файлов — он уже в зоне риска. Особенно если нет регулярной проверки файлов и логов. Даже если плагин не активен, его наличие — сигнал: кто-то уже получил доступ. А вот с тем, что он маскируется под системный файл, согласен — это уже не первый случай, и такие трюки используются в реальных атаках.
У себя уже начал проверять файлы, которые не должны быть в плагинах: functions.php, db.php, advanced-cache.php. Если они в корне и не привязаны к теме — это тревога. У клиентов на поддержке это закрывается заранее, но у тех, кто не проверяет, риск высок. Пока не тороплюсь с обновлениями — это не про версию, а про поведение. Но в план на неделю поставлю проверку всех must-use файлов, особенно тех, что не ведут к известным плагинам. И да — если вдруг у кого-то в списке плагинов нет админки, но сайт работает — это уже повод проверить, не скрыт ли кто-то под капотом.