فيروس خبيث يُصيب نظام WordPress ويضرب 11 ألف موقعاً!

نجح فيروس خبيث في التسلل إلى 11 ألف موقع في الأشهر الأخيرة وإيجاد باب خلفي يوجِّه الزائرين إلى مواقع أخرى تجمع المشاهدات الاحتيالية للإعلانات التي يقدمها جوجل أدسنس.

ووفقًا لما ورد من شركة الأمن Sucuri المسؤولة عن إدارة نظام Wordpress فإن عدد المواقع المصابة حتى الآن هو بالتحديد 10,890 موقع تحتوي على نصوص PHP بداخل ملفات شرعية تماما في تلك المواقع بحيث يصعب اكتشافها سواء للزائرين أو لملّاك المواقع.

وقد وجدت الشركة أن الملفات التي تم حقنها بالفيروس متنوعة بشدة وتتضمن index.php,” “wp-signup.php,” “wp-activate.php,” “wp-cron.php,” وغيرها الكثير، كما ظهر الفيروس في بعض المواقع في ملفات أكثر تعقيدًا مثل wp-blog-header.php بحيث ينجو من أي عمليات تطهير دورية قد يقوم بها خادم الموقع.

ويعمل الفيروس على تحميل أبواب خلفية في المواقع يمكنها تحميل نصوص إضافية مبرمجة تمامًا مثل الموجودة على الموقع المُصاب، كما أن قدرة الفيروس على الدخول في ملفات مثل wp-blog-header.php يضمن تحميله باستمرار دون قدرة على اكتشافه أو التعامل معه.

ويتمتع الفيروس الجديد بقدر كبير من الذكاء يُمكنه من التخفي، وتؤكد شركة Sucuri أن العدوى مستمرة منذ شهر سبتمبر الماضي على الأقل، وفي حين لم يُلاحظ سلوكًا ضارًا مباشرًا، إلا أن الهدف الأساسي لهذا الفيروس يبدو أنه يتمثل في إعادة توجيه الزائرين إلى مواقع وهمية تقدم إعلانات جوجل أدسنس.

وتم الكشف عن بعض هذه الحسابات الوهمية بالفعل والتي ثبت أنها لا تقدم محتوى حقيقيًا ولكن تناقش التحولات في البيتكوين والعملات الرقمية الأخرى بطريقة السؤال والجواب، ويعتبر الربح الحقيقي بها ناجمًا من عدد النقرات على إعلانات جوجل، وكلما ارتفعت زاد الربح.

وفي حين أن سياسة جوجل تمنع بشدة هذه الممارسات الاحتيالية إلا أنه لا يوجد طريقة واضحة للتعرف على طبيعة الزائرين وهل هم أشخاص حقيقيين أم موجهين، وفي كلا الحالتين ينال صاحب الموقع الربح من أصحاب الإعلانات على أساس أنه تم مشاهدتها أو التفاعل معها.

وتؤكد شركة الأمن أن الموضوع عبارة عن حملة منظمة لتوجيه الزوّار إلى عنوان قصير مزيف وتضخيم عدد المشاهدات والنقرات للإعلان.

ومن غير المعروف حتى الآن الطريقة التي أُصيب بها نظام Wordpress بالفيروس في المقام الأول، وإن كانت المؤشرات تدل على استغلال بعض المكونات الإضافية في الموقع، كما لم يردّ ممثلو شركة جوجل على أي استفسارات بشأن الإجراءات التي سوف يتم اتخاذها تجاه الحسابات التي ثبت زيفها واشتراكها في تلك الحملة.

لذا فحتى إيجاد طريقة للتطهير فإن المستخدم الذي يجد نفسه في موقع آخر مختلف عن الذي يزوره فعليه فقط إغلاق علامة التبويب وعدم النقر على الإعلانات، مع ضرورة إجراء اختبارات مستمرة لكل الروابط على المواقع التي قد تكون مُصابة.