Se ha detectado una nueva campaña de malware dirigida a sitios web de WordPress. Los atacantes utilizan un método innovador para comunicarse con los sitios infectados, ocultando las instrucciones de comando dentro de los comentarios de los perfiles de la Comunidad de Steam, transformando así una plataforma de videojuegos popular en un canal de control encubierto.

Una campaña de malware recién descubierta que tiene como objetivo los sitios web de WordPress ha generado serias preocupaciones en toda la comunidad de seguridad web.

Los atacantes detrás de esta campaña están utilizando un método inesperado para comunicarse con los sitios infectados, ocultando instrucciones de comando dentro de los comentarios de los perfiles de la Comunidad de Steam y convirtiendo una popular plataforma de juegos en un canal de control encubierto.

El malware funciona en dos etapas. Primero, inyecta JavaScript malicioso en el front-end de un sitio web de WordPress comprometido, sirviendo contenido dañino a cada visitante que llega a la página.

Segundo, planta una puerta trasera (backdoor) en el servidor que otorga a los atacantes un acceso remoto persistente, permitiéndoles modificar los archivos de temas y plugins de WordPress sin dejar rastro visible de la intrusión.

Investigadores de seguridad de GoDaddy identificaron esta campaña, señalando que fue detectada por primera vez en julio de 2024 y, desde entonces, se ha encontrado en aproximadamente 1,900 sitios de WordPress.

GoDaddy afirmó en un informe compartido con Cyber Security News (CSN) que los actores de amenazas están disfrazando deliberadamente su infraestructura detrás de la plataforma de juegos confiable de Valve, en lugar de mantener servidores obviamente maliciosos que podrían ser marcados y eliminados rápidamente.

Lo que hace que esta campaña sea particularmente difícil de detectar es cómo el malware oculta sus cargas útiles (payloads). Utiliza caracteres Unicode invisibles, una técnica conocida como esteganografía, para codificar datos maliciosos dentro del texto de los comentarios de los perfiles de Steam.

Dado que esos caracteres ocultos parecen texto completamente normal a simple vista, es mucho menos probable que las herramientas tradicionales de escaneo basadas en texto los detecten durante las revisiones rutinarias.

El alcance de esta campaña es significativo. Los sitios web comprometidos sirven scripts inyectados a cada visitante sin saberlo, exponiendo a los usuarios reales a daños potenciales. Para los propietarios de los sitios, el daño es más profundo, ya que la puerta trasera otorga a los atacantes la capacidad de reescribir el código del sitio incluso después de intentos de limpieza parcial.

El malware de WordPress abusa de los perfiles de la Comunidad de Steam

El núcleo de este ataque se basa en una función PHP integrada dentro de la instalación de WordPress comprometida.

Cuando se carga cualquier página del sitio infectado, el malware envía una solicitud HTTP a una página de perfil de la Comunidad de Steam utilizando cURL, extrae el texto de los comentarios de ese perfil y decodifica las cargas útiles ocultas insertadas en él.

Se ha observado que el malware obtiene perfiles como steamcommunity.com/profiles/76561199096946028 y almacena el contenido extraído utilizando transitorios de WordPress con una ventana de expiración de cinco minutos.

Los datos decodificados se convierten en una URL de JavaScript inyectada en cada página del front-end a través del hook wp_enqueue_script, bajo el nombre engañoso de “asahi-jquery-min-bundle”, diseñado para imitar una librería legítima.

La URL externa decodificada observada durante el análisis apuntaba a hello-myworld[.]info, que sirve la carga útil final de JavaScript malicioso a los visitantes del sitio.

Puerta trasera sigilosa permite la ejecución remota de código

El componente del lado del servidor es tan peligroso como la inyección en el front-end. Una función de puerta trasera registrada a través del hook template_redirect de WordPress escucha solicitudes POST que contienen cookies de autenticación específicas.

Cuando esas cookies están presentes, la puerta trasera confirma que está activa devolviendo una cadena de versión, o acepta código PHP codificado en base64 y reescribe los archivos de plugins y temas en toda la instalación de WordPress.

Esta capacidad de ejecución remota de código significa que, aunque elimines parte de la infección, los atacantes pueden reinstalar el código borrado a través de la puerta trasera que sigue activa.

El malware protege este canal utilizando cifrado AES-256-CTR con derivación de claves PBKDF2 basada en SHA-512 y 10,000 iteraciones, junto con autenticación HMAC-SHA256 para verificar cada carga útil entrante.

Para evadir la detección, el malware aplica múltiples capas de técnicas de ofuscación. Todas las constantes de cadena están codificadas mediante secuencias de escape octales o hexadecimales, los nombres de funciones y variables siguen un estilo hexadecimal aleatorio de mayúsculas y minúsculas mixtas, y una función de registro desactivada está dispersa por el código para imitar una infraestructura de depuración legítima sin llegar a ejecutarse nunca.

Si sospechas que tu sitio está infectado, debes activar el modo de mantenimiento inmediatamente y hacer una copia de seguridad de la instalación comprometida antes de realizar cualquier cambio.

Debes renovar todas las credenciales de WordPress, incluidas las contraseñas de administrador, el acceso a la base de datos, las credenciales FTP y las claves SSH. La limpieza debe cubrir cada archivo de plugin y tema, ya que la eliminación parcial no es suficiente dada la capacidad de la puerta trasera para restaurar remotamente el código eliminado.

Debes eliminar las entradas sospechosas de caché transitoria con el prefijo transient_caption y los scripts externos encolados que apunten a dominios desconocidos.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.