Neue WordPress-Malware umgeht die 14 wichtigsten Sicherheitsscanner

Eine neue Art von Malware wurde entdeckt, die in der Lage ist, die Erkennung durch 14 große WordPress-Sicherheits-Scanner, darunter Wordfence und GOTMLS.NET, zu umgehen. Die Malware injiziert sich in die Datenbank, insbesondere in die wp_options-Tabelle, und betrifft Einträge wie wpcode_snippets, siteurl, home und redirection_options.

Dies ermöglicht es den Angreifern, versteckte Admin-Benutzer anzulegen, Besucher auf bösartige Websites umzuleiten und Sicherheits-Plugins vor der Ansicht des Administrators zu verstecken. Die Malware verwendet außerdem fortgeschrittene Techniken, um die Erkennung zu umgehen, wie Base64-Codierung und IP-Adressenverfolgung.

Wie diese Malware sich versteckt und unentdeckt arbeitet

Was diese Malware besorgniserregender macht, ist ihre Fähigkeit, von einer Vielzahl von Sicherheitsscannern unentdeckt zu bleiben.

Berichte deuten darauf hin, dass 14 große Scanner, darunter bekannte WordPress-Sicherheits-Scanner, die Bedrohung nicht identifizieren konnten. Hier ist die Liste der Scanner, die diese Bedrohung nicht identifizieren konnten:

• Wordfence
• Sucuri SiteCheck
• MalCare
• iThemes Sicherheit
• All-in-One WP Sicherheit & Firewall
• WPScan
• Anti-Malware-Sicherheit (von Eli/GOTMLS.NET)
• SecuPress
• Quttera Web-Malware-Scanner
• Exploit-Scanner
• WPCore-Scan
• WP Cerber Sicherheit
• ClamAV

Die Malware funktioniert, indem sie bösartigen Code direkt in die WordPress-Datenbank einfügt, insbesondere in die wp_options-Tabelle. Auf diese Weise kann sie vermeiden, von den üblichen dateibasierten Scans entdeckt zu werden, die viele Sicherheits-Plugins verwenden.

Verstehen, wie die Malware funktioniert

1. Übernahme des Admin-Panels

Die Malware verändert die WordPress-Admin-Oberfläche, um Sicherheits-Plugins wie "Code Snippets" zu verbergen. Dadurch wird es für den Administrator schwierig zu erkennen, dass etwas nicht stimmt.

2. Erstellen geheimer Admin-Benutzer:

Mit gestohlenen Cookie-Daten fügt die Malware heimlich Administratorbenutzer zur Datenbank hinzu, ohne dass der Website-Besitzer es merkt. Dies gibt Angreifern eine Möglichkeit, immer wieder zurückzukehren, selbst wenn das ursprüngliche Problem behoben wird.

3. Weiterleiten von nicht angemeldeten Benutzern zu schlechten Websites:

Die Malware verwendet DNS-Einträge, um nicht angemeldete Benutzer oder solche mit bestimmten IP-Adressen auf schädliche bösartige Websites zu leiten. Diese Websites könnten versuchen, Informationen zu stehlen oder weitere Malware zu senden.

4. Verfolgung von IP-Adressen und Sitzungen:

Um verdächtig auszusehen zu vermeiden, verfolgt die Malware IP-Adressen, um sicherzustellen, dass sie die gleiche Person nicht mehr als einmal in 24 Stunden auf eine gefährliche Seite schickt.

Malware-Erkennung und -Analyse

Die Malware wurde entdeckt, indem die wp_options-Tabelle sorgfältig überprüft wurde, insbesondere Einträge wie wpcode_snippets, siteurl, home und redirection_options.

Eine spezielle SQL-Abfrage wurde verwendet, um nach Anzeichen von Problemen zu suchen, wie <script>-Tags, eval()-Funktionen, base64_decode()-Funktionen und document.write%.

Schutz vor dieser Malware

Um Ihre WordPress-Website vor dieser heimtückischen Malware zu schützen, führen Sie die folgenden Schritte aus:

1. Verwenden Sie starke Passwörter und Zwei-Faktor-Authentifizierung (2FA):

• Stellen Sie sicher, dass alle Benutzerkonten, insbesondere die Administrator-Konten, starke und einzigartige Passwörter haben.
• Fügen Sie eine zusätzliche Sicherheitsebene mit 2FA hinzu, wodurch es für Angreifer viel schwieriger wird, einzudringen.

2. Halten Sie alles auf dem neuesten Stand und führen Sie regelmäßige Sicherheitsprüfungen durch:

• Stellen Sie sicher, dass WordPress, Themes und Plugins immer auf dem neuesten Stand sind, um alle Sicherheitslücken zu beheben.
• Überprüfen Sie regelmäßig Ihre Website und Datenbank auf verdächtige Aktivitäten oder schädlichen Code.

3. Die WP-Login-URL ausblenden und Login-Versuche begrenzen:

• Ändern Sie die Standard-WordPress-Anmelde-URL (/wp-admin oder /wp-login.php), um es Angreifern zu erschweren, sie zu finden.
• Verwenden Sie Plugins oder Sicherheitsfunktionen, um Anmeldeversuche zu begrenzen und Brute-Force-Angriffe zu verhindern.

4. Verbesserung der Datenbanksicherheit und Überwachung:

• Scannen Sie regelmäßig Ihre Datenbank nach schlechtem Code, insbesondere in der wp_options-Tabelle.
• Verwenden Sie Sicherheitstools, die Ihre Datenbank in Echtzeit überwachen und ungewöhnliche Aktivitäten erkennen können.

Eine Warnung für die WordPress-Administratoren

Dieser neue Typ von Malware zeigt, wie wichtig es ist, neuen Bedrohungen einen Schritt voraus zu sein. Während traditionelle Sicherheitsmaßnahmen weiterhin wichtig sind, zeigt dieser Vorfall, dass wir fortschrittlichere Methoden benötigen, um unsere Datenbanken zu überwachen und Malware zu erkennen.

Wenn Sie verdächtige Aktivitäten auf Ihren WordPress-Websites festgestellt haben, ist es Zeit, eine gründliche Analyse durchzuführen.

Ressource:

• https://wordpress.org/support/topic/new-malware-found-in-wordpress-installations-hidden-admin-users-redirects-and/#post-18010647

Hervorgehobenes Bild von Jaydeep Joshi von Pixabay.