WordPress Backdoor Rebuilds Itself After Cleanup Using Files, Database, and Shared Memory

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han de­ta­lla­do una vul­ne­ra­ción en Word­Press donde los ata­can­tes im­ple­men­ta­ron di­ver­sos me­ca­nis­mos de per­sis­ten­cia para ga­ran­ti­zar que la carga ma­li­cio­sa re­gre­se de ma­ne­ra con­ti­nua sin re­que­rir una nueva in­fec­ción del sitio. Este có­di­go ma­li­cio­so, bau­ti­za­do como SC de­bi­do a los mar­ca­do­res es­pe­cí­fi­cos pre­sen­tes en su con­te­ni­do in­yec­ta­do, fun­cio­na como una red in­ter­co­nec­ta­da que se auto-re­pa­ra y es con­tro­la­da me­dian­te tec­no­lo­gía block­chain. La carga útil se dis­tri­bu­ye si­mul­tá­nea­men­te en nu­me­ro­sos pun­tos, abar­can­do ar­chi­vos, la base de datos y la me­mo­ria com­par­ti­da, de modo que cada uno de estos ele­men­tos tiene la ca­pa­ci­dad de re­ge­ne­rar a los demás, im­pi­dien­do que exis­ta un único punto de eli­mi­na­ción para fre­nar el ciclo.

El soft­wa­re ma­li­cio­so ocul­ta sus fun­cio­nes le­gi­bles me­dian­te un des­co­di­fi­ca­dor que em­plea un ci­fra­do por sus­ti­tu­ción, y sus com­po­nen­tes se ex­tien­den a lo largo de al mismo tiem­po por múl­ti­ples ubi­ca­cio­nes del sis­te­ma. Entre ellos se en­cuen­tran ar­chi­vos de ini­cia­li­za­ción y con­fi­gu­ra­ción, car­ga­do­res ocul­tos con pre­fi­jos de pun­tos, ar­chi­vos de caché avan­za­da, fun­cio­nes den­tro de temas es­pe­cí­fi­cos y plu­gins ins­ta­la­dos tanto de forma obli­ga­to­ria como con­ven­cio­nal. De este modo, al eli­mi­nar un ele­men­to, los com­po­nen­tes res­tan­tes se en­car­gan de re­es­cri­bir­lo, uti­li­zan­do ade­más la me­mo­ria RAM en ser­vi­do­res com­pa­ti­bles para ase­gu­rar su su­per­vi­ven­cia in­clu­so tras la lim­pie­za de ar­chi­vos o de la base de datos, com­ple­men­tán­do­se con ta­reas pro­gra­ma­das au­to­ma­ti­za­das.