随着WordPress成为全球最受欢迎的网站内容管理系统之一,其庞大的用户基数也让黑客攻击的目标更为集中和多样。近期,网络安全专家发现一款伪装成安全插件的恶意软件在WordPress社区肆虐,危及网站安全,使攻击者能够通过远程方式获得管理员控制权,进而开展一系列恶意活动。该恶意插件以“WP-antymalwary-bot.php”为名,实际上隐藏着复杂的攻击机制,具备自我隐藏、远程代码执行以及持久化存活功能。攻击者借助该插件,得以绕过网站管理员的权限限制,肆意修改网站内容,甚至注入恶意JavaScript代码用于显示广告或传播恶意软件,从中获利。安全研究机构Wordfence的Marco Wotschka博士指出,这款插件不仅包含向远程指挥和控制服务器回传信息的“ping”功能,还能自动向其他目录传播恶意代码,形成多个感染点,极大地增加了清除难度。该恶意插件首次被发现于2025年1月底,当时专业团队在针对被黑站点进行清理时意外揭露其踪迹。
随着时间推移,相关变种不断演进,名称也更加多样化,包括addons.php、wpconsole.php、wp-performance-booster.php及scr.php等,使得识别和排查难度显著上升。一旦该恶意插件被激活,攻击者几乎瞬间获得了管理员管理面板的完全访问权限。插件滥用WordPress的REST API功能,实现远程代码执行,常见做法是向网站主题的header文件中注入恶意PHP代码,同时清空流行缓存插件的数据缓存,以确保恶意代码的持续执行与隐藏。新一版恶意插件还采用了更为隐蔽的注入手段,从其他已被攻陷的域名动态拉取并加载JavaScript代码,用于展示广告或进行垃圾邮件传播,这些活动不仅影响用户体验,还可能导致网站被搜索引擎降权或封禁。插件在被删除或禁用后,同目录下的恶意文件wp-cron.php会自动重建并重新激活恶意组件,利用WordPress自身的定时任务机制,为恶意活动提供持续保障,从根本上阻碍了网站管理员的清理努力。尽管具体漏洞入口尚未被完全确认,但研究人员在代码中发现了大量俄语注释与信息,推测攻击者为俄语母语区域的黑客组织。
与此同时,其他安全公司如Sucuri也披露了相关链条攻击,例如伪装字体域italicfonts[.]org实施的网络刷卡攻击,在结账页面利用伪造支付表单窃取用户信用卡信息。Magento电商平台也未能幸免,遭受一波复杂的多阶段刷卡攻击,该攻击利用JavaScript木马程序,窃取包括信用卡数据、登录凭证、浏览器Cookies等多类别敏感信息。攻击者甚至巧妙利用伪装为GIF图片的PHP脚本,作为恶意反向代理服务器截取用户请求,将流量引向控制服务器,从而实现隐蔽数据盗取和远程控制。除此之外,不法分子也在至少17个WordPress站点中植入了额外的谷歌AdSense代码,直接窃取广告收益。受害网站的服务器资源被大量消耗,同时原有广告收入被转移给黑客团队,造成经济损失和信誉受损。安全研究员Puja Srivastava指出,这种行为不仅破坏网站正常广告收益,也使得网站资源被滥用,用户体验极大下降。
除此之外,一些网站还被注入带有欺骗性质的验证码弹窗,诱骗访问者下载基于Node.js搭建的后门程序。该程序能够收集宿主系统信息,建立远程隧道连接(SOCKS5代理),允许攻击者绕过网络限制,隐蔽地传输恶意流量。该攻击链被Trustwave SpiderLabs识别为流量分发系统(TDS)“Kongtuke”,呈现多功能型后门特性,不仅支持细致的系统侦察,还能执行远程命令和网络代理服务,维护攻击者的持久控制能力。针对上述攻击风险,WordPress网站管理员需时刻保持警惕。首先,务必定期更新核心系统及所有插件,避免漏洞被利用。其次,避免安装来历不明或未经官方认证的插件,并使用安全扫描工具定期检测异常文件及代码。
强化密码策略,启用多因素认证,阻断攻击者通过暴力破解获取权限的可能。备份数据成为防御攻破后的重要手段,建议采用异地存储方案,确保在遭受破坏时能快速恢复。合理配置服务器权限,限制脚本执行权限,避免恶意文件轻易植入网站目录。借助专业安全厂商提供的网站防火墙(WAF),能够对恶意请求进行筛查和阻断,提升整体安全防御能力。除此之外,应关注异常流量和登陆日志,及时发现异常活动迹象,配合安全专家制定应急响应方案。针对注入恶意广告和伪造支付页面等行为,建议利用正版安全插件,对网站内容和外部脚本进行白名单管理,杜绝未经授权代码插入。
对于用户体验部分,通过设置合理的验证码和动态安全检查机制,减少验证码被滥用的风险。总而言之,当前围绕WordPress的网络安全态势日益严峻,伪装成安全插件的恶意软件更具迷惑性和破坏性。站长和安全团队需提高防范意识,结合技术、管理和监控多方面手段,构筑稳固防线,防止黑客通过远程管理权限操控网站,维护网站的安全运营和用户信任。随着网络环境不断演进,安全威胁也日益复杂,持续学习和应对才能保障数字资产安全,守护广大网络空间的健康生态。