网络安全研究人员揭示了一个 WordPress 受到攻击的案例，其中威胁行为者部署了多种持久性机制，以确保最终有效载荷在不需要再次感染网站的情况下持续返回。
该后门被命名为 SC，源于注入内容中存在的 "SC_" 标记。Sucuri 将该恶意软件描述为一种 "自我修复网状结构"，由区块链控制。
“有效载荷同时存在于至少八个地方，分布在文件、数据库和共享内存中，而这些地方中的每一个都可以重建其他所有地方，”安全研究员 Gabriel Barbosa 说。
“删除插件后，一个 drop-in 会重写它。删除 drop-in 后，主题会重写它。清理磁盘上的每个文件后，下一个页面加载会从数据库或共享内存段恢复整个集合。结果是一个循环系统，没有单一的点可以删除以停止它。”
根据 Sucuri 的说法，该恶意软件没有任何可读的函数名称，而是使用解码器通过替换密码来解密代码。八个组件的摘要如下 -
.user.ini，设置 "auto_prepend_file" 以在该目录树中的每个 PHP 请求之前运行加载器。
wp-content/c1b12371.php，加载器，如果同一位置存在一个隐藏的点前缀文件，则将其包含。
wp-content/.c1b12371.php，隐藏的点前缀文件，作为第一阶段加载器，定位一个假插件并从三个来源在 mu-plugins 中重建它：插件文件夹中的现有副本、缓存目录中的编码存根，以及一个随机十六进制名称的 ZIP 恢复包。
wp-content/db.php，在引导期间加载，携带整个后门有效载荷，以压缩的 Base64 编码格式。每当它缺失或太小的时候，它会解码并重新部署插件。
wp-content/advanced-cache.php，在启用缓存时，WordPress 在普通插件之前加载，并从五个独立来源重建插件：现有的 mu-plugin、现有的插件副本、持有 PHP 的 System V 共享内存段、ZIP 包和数据库。然后它挂接 plugins_loaded 并包含它。
wp-content/themes/khorshidi/functions.php，db.php 的主题驻留双胞胎，具有相同的后门，并在每次缺失时重写插件。
wp-content/mu-plugins/hyper-engine-kit.php，作为必须使用的插件和普通插件安装的实际恶意软件。
wp-content/plugins/hyper-engine-kit/hyper-engine-kit.php，作为冗余的相同后门有效载荷的副本。
无论使用何种方法启动后门，它都会执行多项操作，包括在管理员插件屏幕或更新检查中隐藏自己，通过以太坊区块链与命令和控制 (C2) 服务器通信，指纹识别被感染的网站并检索额外的有效载荷，创建一个隐藏的管理员账户，以及运行再感染循环。
后门的能力使操作员能够控制 WordPress 网站，获取任意 JavaScript 进行注入并针对网站访问者使用窃取工具（或其他恶意软件），运行 PHP 代码，以及停用或删除特定插件。
“在支持 System V 共享内存的服务器上，有效载荷被写入一个由固定数字密钥标识的段，”Sucuri 说。“该段存在于 RAM 中，因此它能够在文件删除和数据库清理中存活下来，并且在共享主机上，它甚至可以由不同的账户拥有。”
“感染注册了 cron 钩子，包括随机名称和一个已知的获取钩子。系统 cron 运行 WordPress cron 文件，而不是访客流量，然后按计划触发重新部署。”
目前尚不清楚恶意软件是如何传递到 WordPress 网站的。然而，典型的初始访问向量包括 WordPress、插件和主题中的已知安全漏洞；弱登录凭据；针对流行插件的软件供应链攻击；以及利用不安全的媒体或表单上传功能将 PHP Web Shell 推送到服务器目录中。
“SC 是一个提醒，现代 WordPress 感染可以是一个系统，而不是一个文件，”Sucuri 说。“这个工具包在 drop-ins、主题、两个位置的假插件、数据库和共享内存中传播相同的后门副本，隐藏其命令通道在合法的区块链基础设施中，并在下一个请求中从任何存活的副本重写自己。”
wpForo 论坛 WordPress 插件漏洞被利用
这一披露正值 wpForo 论坛 WordPress 插件中的一个高严重性未经身份验证的 SQL 注入漏洞（CVE-2026-1581，CVSS 分数：7.5）正在被积极利用。该问题影响插件的所有版本，直到并包括 2.4.14。
根据 Previdian 的遥测数据，自 2026 年 7 月 3 日以来，观察到针对该漏洞的利用尝试少于 20 次。该活动源自位于保加利亚、瑞士、法国、美国和也门的五个独特攻击者 IP 地址。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读我们发布的更多独家内容。