Se ha detectado una nueva variante de malware para WordPress que utiliza un plugin oculto, acceso de administrador robado y un canal de comando basado en blockchain para mantenerse activo en los sitios comprometidos. Esta amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados, instalándose específicamente como un plugin de "uso obligatorio" (must-use plugin).

Una cepa de malware de WordPress recién identificada está utilizando un plugin oculto, acceso de administrador robado y un canal de comandos basado en blockchain para permanecer activa en sitios web comprometidos.

La amenaza está diseñada para sobrevivir a los esfuerzos comunes de limpieza mientras recopila silenciosamente datos sensibles de los servidores afectados. El malware se instala como un plugin de "uso obligatorio" (must-use), un tipo de componente de WordPress que se carga automáticamente con cada solicitud y no aparece en la página normal de Plugins.

Esta ubicación otorga a los atacantes un punto de apoyo fiable y hace que el código malicioso sea más fácil de ocultar a los propietarios del sitio durante las comprobaciones rutinarias.

Investigadores de Wordfence identificaron el malware durante una limpieza de sitio a mediados de junio y descubrieron que estaba disfrazado como una herramienta normal de reporte y comprobación de salud.

Las muestras aparecieron bajo más de 4,000 nombres de archivo diferentes, utilizando a menudo nombres familiares como advanced-cache.php, db.php y el archivo functions.php de un tema.

La infección puede crear o apoderarse de cuentas de administrador, capturar contraseñas de administrador durante el inicio de sesión y buscar secretos relacionados con pagos.

Sus operadores también pueden usar el implante para inyectar código en el lado del navegador, eliminar otros plugins, alterar el contenido de los plugins y propagarse a otras instalaciones de WordPress accesibles en el mismo servidor. Esto hace que un solo sitio comprometido sea un riesgo potencial para cada sitio que comparta su entorno de alojamiento.

Wordfence indicó en un informe compartido con Cyber Security News (CSN) que el malware combina sigilo, persistencia y un diseño de comando y control resistente, destinado a vencer los esfuerzos convencionales de detección y eliminación.

Los hallazgos también refuerzan por qué debes revisar la actividad sospechosa de las cuentas después de los incidentes, especialmente tras ataques que explotan fallos de WordPress para robar contraseñas e instalar puertas traseras en el servidor.

El malware de WordPress utiliza un plugin oculto y C2 de Blockchain

El malware se oculta dentro del directorio wp-content/mu-plugins, donde los plugins de uso obligatorio son cargados automáticamente por WordPress. A diferencia de los plugins ordinarios, estos no pueden desactivarse a través del panel de control estándar, lo que otorga a los atacantes una ventaja inmediata después de obtener acceso de escritura en un sitio.

También se elimina activamente de las vistas del panel de WordPress. El código oculta el plugin de la pantalla de Plugins de Uso Obligatorio, la página estándar de Plugins, los avisos de actualización y la sección de Salud del Sitio.

Como resultado, es posible que tú, como administrador, no veas ninguna advertencia obvia incluso cuando el plugin malicioso se esté ejecutando en cada solicitud de página. El malware oculta aún más su actividad mediante el uso de un sistema personalizado de sustitución de cadenas.

En lugar de confiar en métodos de ofuscación comunes que los equipos de seguridad suelen reconocer rápidamente, oculta los nombres de los hooks de WordPress, los nombres de las opciones, las rutas de archivos y las sentencias SQL hasta que el código se ejecuta.

La persistencia se implementa en varias capas de funciones. El implante puede crear una nueva cuenta de administrador con nombres que comiencen por admin_, adm_, administrator_ o backup_, seguidos de seis caracteres aleatorios.

También puede restablecer la contraseña de una cuenta existente, ocultar la cuenta fraudulenta de los listados de usuarios del panel y de la API REST, y ajustar los totales de usuarios mostrados para que la discrepancia sea menos notoria.

Una función de autorreparación restaura el archivo del malware si este es eliminado o se vuelve demasiado pequeño. El código mantiene una copia de seguridad en la base de datos de WordPress, reescribe el archivo, antedata su hora de modificación y cambia los permisos a solo lectura.

También puede reactivarse y copiarse a otros sitios de WordPress encontrados en directorios comunes del servidor web. Si estás investigando sitios comprometidos, no debes confiar únicamente en la pantalla de Plugins.

Debes inspeccionar el directorio de plugins de uso obligatorio, consultar directamente la base de datos de usuarios de WordPress en busca de administradores no autorizados, revisar las tablas de opciones, rotar las credenciales y comprobar otros sitios alojados en el mismo servidor.

Mantener WordPress y los plugins actualizados sigue siendo esencial, particularmente después de los informes sobre fallos críticos de toma de control de plugins que pueden ofrecer a los atacantes una ruta inicial hacia tu sitio.

El C2 de Blockchain protege las operaciones

El sistema de comando y control del malware utiliza EtherHiding, una técnica que almacena los detalles del servidor de comandos detrás de contratos inteligentes en la blockchain de Ethereum.

En lugar de incrustar un dominio malicioso fijo o una dirección IP, el implante consulta los datos de la blockchain en tiempo de ejecución para obtener las direcciones actuales del servidor.

Selecciona entre tres direcciones de contratos inteligentes predefinidas y 21 puertas de enlace de Llamada a Procedimiento Remoto (RPC) públicas. El malware envía una solicitud eth_call, recupera datos cifrados y descifra una clave y una lista de servidores HTTP controlados por el atacante.

Esta configuración evita que los defensores simplemente bloqueen un dominio o denuncien a un proveedor de hosting para interrumpir las operaciones. Una vez conectado, el implante envía un informe cifrado que contiene detalles del sitio, información del administrador, plugins activos, configuraciones de pago, claves API, datos de pedidos de clientes y rutas a archivos importantes.

Busca específicamente en los archivos de configuración de WordPress, archivos de entorno y archivos de configuración de Git credenciales asociadas con servicios de pago e infraestructura en la nube.

El servidor remoto puede entonces devolver instrucciones para reemplazar el malware, eliminar plugins relacionados con la seguridad, extraer contenido seleccionado de los archivos de los plugins o inyectar JavaScript en el navegador de cada visitante a través del pie de página de WordPress.

Este diseño flexible significa que la misma infección podría soportar el robo de credenciales, el robo de datos de pago (skimming), spam, redirecciones o un compromiso más amplio del servidor.

Este enfoque refleja el creciente uso operativo de la infraestructura blockchain en campañas maliciosas. Un informe reciente sobre servidores de malware ocultos en blockchain describió similarmente cómo los atacantes usan EtherHiding para hacer que la infraestructura de control sea más difícil de localizar y eliminar.

Si eres propietario de un sitio, debes investigar inmediatamente cualquier plugin de uso obligatorio desconocido, auditar las cuentas de administrador desde la base de datos en lugar de solo desde el panel, revisar opciones de WordPress inesperadas e inspeccionar los registros del servidor en busca de solicitudes salientes sospechosas.

También debes aplicar las actualizaciones de seguridad de WordPress disponibles, ya que las guías recientes de actualización de seguridad de WordPress han subrayado la importancia del parcheo rápido y la revisión de archivos, plugins y cambios de cuenta inesperados.