Napadi na WordPress sajtove: novi malver krade kartice i lozinke

Vesti, 25.06.2025, 13:30 PM

Istraživači iz Wordfence-a otkrili su sofisticiranu kampanju usmerenu na WordPress sajtove. Na prvi pogled, lažni dodatak (plugin) nazvan „WordPress Core“, koji je deo ove kampanje, deluje bezazleno - izgleda kao uobičajeni deo WordPress instalacije. Međutim, u pozadini se krije malver koji krade korisničke podatke, uključujući brojeve platnih kartica, lozinke i druge osetljive informacije.

Najzanimljiviji detalj ove kampanje jeste način na koji se malver skriva. Aktivira se samo na stranicama za naplatu, dok potpuno izbegava administratorske stranice, kako bi ostao neprimećen. Istraživači Wordfence-a su primetili da novije verzije malvera kreiraju lažne obrasce za plaćanje i imitiraju Cloudflare bezbednosne provere, uključujući čak i lažne CAPTCHA izazove sa animacijama, podrškom za više jezika, tamnim modom i interaktivnim elementima. Sve to izgleda dovoljno uverljivo da prevari čak i iskusne korisnike.

Stručnjaci iz Wordfence-a pratili su ovu pretnju unazad do septembra 2023. i analizirali više od 20 različitih uzoraka malvera. Iako se verzije razlikuju po funkciji, sve dele istu osnovnu strukturu, koja se modularno prilagođava ciljevima konkretnog napada.

Jedna verzija malvera koju su analizirali je manipulisala Google oglasima i prikazivala lažne oglase korisnicima mobilnih telefona. Druga je bila namenjena krađi pristupnih podataka za WordPress naloge, dok je treća verzija širila dodatne malvere menjajući legitimne linkove na veb sajtovima.

Neke verzije su čak koristile aplikaciju Telegram za slanje ukradenih podataka u realnom vremenu i praćenje aktivnosti korisnika. Ukradeni podaci se često maskiraju kao URL adrese slika, što dodatno otežava detekciju.

Jedna od ključnih komponenti napada je skriveni sistem za upravljanje koji se nalazi direktno na kompromitovanom sajtu. Tu napadači čuvaju ukradene podatke, raspoređene po kategorijama, unutar posebno kreiranog „messages“ odeljka u WordPress bazi. Malver koristi i popularni dodatak WooCommerce, da bi lažne porudžbine označio kao uspešno završene, čime dodatno odlaže otkrivanje napada.

Administratori WordPress sajtova treba da obrate pažnju na neobične plugin-ove koje nisu sami instalirali, kao i na aktivnosti povezane sa domenima poput api-service-188910982.website ili graphiccloudcontent.com.

Ova kampanja je podsetnik kako i najpoznatije platforme mogu biti iskorišćene kao paravan za napad. Zbog toga su informisanost i oprez ključna linija odbrane. U suprotnom, ono što izgleda kao još jedan WordPress plugin može vrlo lako otvoriti vrata gubitku podataka i poverenja korisnika.