WordPress-Malware nutzt Steam-Profilen als Command-and-Control-Server

Sicherheitslage und Risiko

Der Kern dieses Angriffs basiert auf einer PHP-Funktion, die in die kompromittierte WordPress-Installation eingebettet ist. Sobald jede Seite der infizierten Website geladen wird, sendet die Malware über cURL eine HTTP-Anfrage an eine Profilseite der Steam Community, extrahiert den Kommentartext aus diesem Profil und entschlüsselt darin verborgene Payloads.

Es wurde beobachtet, dass die Malware Profile wie steamcommunity.com/profiles/76561199096946028 abruft und die extrahierten Inhalte mithilfe von WordPress-Transients mit einer Ablaufzeit von fünf Minuten zwischenspeichert.

Die entschlüsselten Daten werden als JavaScript-URL über den wp_enqueue_script-Hook in jede Frontend-Seite injiziert, wobei der täuschend echte Handle-Name „asahi-jquery-min-bundle" verwendet wird, um eine legitime Bibliothek nachzuahmen.

Technischer Hintergrund

Die während der Analyse beobachtete entschlüsselte externe URL wies auf hello-myworld[.]info hin, welches den finalen bösartigen JavaScript-Payload an die Website-Besucher liefert. Die Stealth-Backdoor ermöglicht die Ausführung von Remote-Code Die serverseitige Komponente ist ebenso gefährlich wie die Frontend-Injektion.

Eine über den WordPress-Hook template_redirect registrierte Backdoor-Funktion lauscht auf POST-Anfragen, die spezifische Authentifizierungs-Cookies enthalten.

Sind diese Cookies vorhanden, bestätigt die Backdoor entweder ihren aktiven Status durch Rückgabe einer Versionszeichenfolge oder akzeptiert base64-kodierte PHP-Code und überschreibt Plugin- und Theme-Dateien in der gesamten WordPress-Installation.

Diese Fähigkeit zur Remote-Code-Ausführung bedeutet,

Diese Fähigkeit zur Remote-Code-Ausführung bedeutet, dass Angreifer auch dann noch gelöschten Code neu installieren können, wenn ein Site-Betreiber Teile der Infektion entfernt hat, solange die Backdoor aktiv bleibt.

Die Malware schützt diesen Kanal durch AES-256-CTR-Verschlüsselung mit PBKDF2-Schlüsselableitung basierend auf SHA-512 und 10.000 Iterationen sowie HMAC-SHA256-Authentifizierung zur Überprüfung jedes eingehenden Payloads. Um der Erkennung zu entgehen, wendet die Malware mehrere Obfuskationstechniken schichtweise an.

Alle String-Konstanten werden mit Oktal- oder Hexadezimal-Escape-Sequenzen codiert, Funktions- und Variablennamen folgen einem randomisierten Mixed-Case-Hexadezimal-Stil, und eine deaktivierte Logging-Funktion ist im Code verstreut, um legitime Debugging-Infrastruktur nachzuahmen, ohne jemals ausgefhrt zu werden.

Technischer Hintergrund

Administratoren der Website, die eine Infektion vermuten, sollten sofort den Wartungsmodus aktivieren und die kompromittierte Installation sichern, bevor nderungen vorgenommen werden. Alle WordPress-Zugangsdaten, einschlielich Admin-Passwrter, Datenbankzugriffsdaten, FTP-Zugangsdaten und SSH-Schlssel, mssen gewechselt werden.

Die Bereinigung muss alle Plugin- und Theme-Dateien umfassen, da eine teilweise Entfernung aufgrund der Fhigkeit des Backdoors, gelschten Code remote wiederherzustellen, nicht ausreicht. Verdchtige temporre Cache-Eintrge mit dem Prfix transient_caption und eingebaute externe Skripte, die auf unbekannte Domnen verweisen, sollten entfernt werden.

Indikatoren für Kompromittierungen (IoCs): URL: Indikator: https://steamcommunity.com/profiles/76561199096946028/; Beschreibung: Steam-Profil, das zur Hostung von verschlüsselten C2-Payloads genutzt wurde. URL: Indikator: https://steamcommunity.com/id/ravypadliha; Beschreibung: Steam-Profil, das während des Abrufs von Malware beobachtet wurde.

Sicherheitslage und Risiko

URL: Indikator: https://steamcommunity.com/id/enomisvool123/; Beschreibung: Steam-Profil, das während des Abrufs von Malware beobachtet wurde. URL: Indikator: https://steamcommunity.com/id/eremohnf342; Beschreibung: Steam-Profil, das während des Abrufs von Malware beobachtet wurde.

Domain: Indikator: hello-myworld[.]info; Beschreibung: Externe Domain, die die entschlüsselte bösartige JavaScript-Payload bereitstellt. Cookie-Name: Indikator: DEpjndDbNc; Beschreibung: Authentifizierungs-Cookie, das zur Auslösung der Backdoor-Ping/Keepalive-Antwort verwendet wird.

Cookie-Name: Indikator: tEcaKKXEsb; Beschreibung: Authentifizierungs-Cookie, das zur Auslösung von Remote Code Execution über die Backdoor genutzt wird. Dateipfad: Indikator: /wp-content/themes/gt3-child/functions.php; Beschreibung: Dateipfad, an dem das Malware zunächst entdeckt wurde. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z.

Technik und Auswirkungen

B. [.] ), um eine unbeabsichtigte Auflösung oder Verlinkung zu verhindern. Defang nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersicherheits- und Datenschutzreporter.

Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Red Hat bestätigt einen Supply-Chain-Kompromittierung der @redhat-cloud-services npm-Pakete.

Angreifer missbrauchen AWS, Google Cloud, Cloudflare und Microsoft-Dienste, um bösartigen Datenverkehr zu verstecken. Anthropic erweitert Project Glasswing Claude Mythos Preview auf 150 neue Organisationen.