سرور فراموششده و انبار اطلاعات هکری
تیمهای تحقیقاتی SOCRadar و Ctrl-Alt-Intel به صورت مستقل به این پوشه دسترسی پیدا کردند. آدرس 137.175.93.126 که از تاریخ 11 ژوئن 2026 در دسترس بود، حاوی 800 مگابایت داده در 434 فایل مختلف است. محتوای این پوشه تنها محدود به اسکریپتهای حمله نبود بلکه شامل نتایج اسکنهای داخلی، پیکربندیهای فرماندهی و کنترل و حتی تاریخچه دستورات تایپشده توسط مهاجمان بود. اوپراتورها صرفاً یک سرور وب ساده پایتون را برای جابجایی فایلها فعال کرده و آن را برای 22 روز بدون نظارت رها کرده بودند. همین لغزش پایهای، پردههای عملیات WP-SHELLSTORM را کنار زد.
چگونه WP-SHELLSTORM کار میکند؟
هسته اصلی این حملات بر پایه آسیبپذیریهای شناختهشده پلاگینها میچرخد. کانون آتش به شدت روی وردپرس متمرکز بود. مهاجمان با استفاده از موتور جستجوی FOFA که عملکردی مشابه Shodan دارد، لیستهای عظیمی از سرورها را استخراج کردند. سپس اسکنرهای خودکاری طراحی کردند که اکسپلویتها را با سرعت بالا روی این دامنهها شلیک میکرد. هدف نهایی آپلود اسکریپتهای مخرب یا همان وبشل بود تا مهاجمان بتوانند از هر نقطهای جهان به سرور قربانی دسترسی کامل پیدا کنند، فایلها را سرقت کرده و عمقتر به شبکه نفوذ نمایند.
کالبدشکنی اعداد: 1.4 میلیون هدف در برابر چند سایت نفوذشده
عنوان 1.4 میلیون سایت همیشه توجهها را جلب میکند، اما واقعیت عددی متفاوت است. این شماره به معنای تعداد سایتهای هکشده نبود بلکه حجم کل دامنههای قرار گرفته در دیتابیس هدفگذاری بود. بزرگترین فایل موجود شامل 587,034 آدرس جوملا بود. واقعیت صحنه از دیدگاه دو تیم تحقیقاتی متفاوت اندازهگیری شد:
- تحلیل Ctrl-Alt-Intel بر اساس حذف تکراریها، نشانههای قطعی نفوذ روی 25,195 سایت را تأیید کرد.
- SOCRadar با شمارش وبشلهای فعال و در حال اجرا، رقم زنده حمله را بیش از 5,700 سایت برآورد نمود.
تفاوت فاحش بین اسکن موفق و نفوذ کامل را میتوان در یک مثال دید. یک آسیبپذیری در پلتفرم جوملا به 560,000 سرور حمله کرده بود، اما تنها موفق شده بود در 77 مورد از آنها سوار شود. این موضوع تأیید میکند که قرار گرفتن در لیست اسکن، هرگز به معنای به خطر افتادن نهایی سیستم نیست.
جعبه ابزار WP-SHELLSTORM و ردپای فنی
بزرگترین ضربهزننده این عملیات، آسیبپذیری CVE-2026-3844 در پلاگین کش Breeze است. مهاجمان این صدمه را بر روی بیش از 45,000 سیستم هدف بکار بردند و خود را موفق به ایجاد دروازه پشتی در 17,000 مورد دانستند. نکته فنی مهم اینجاست که این اکسپلویت تنها زمانی کار میکند که تنظیم غیرپیشفرض میزبانی محلی Gravatars فعال باشد که تعداد قابل توجهی از نصبهای استاندارد را در امان نگه میدارد.
فایلی که به عنوان دروازه اصلی شناخته میشود (down.php) چهار لایه مبهمسازی عمیق را پشت سر گذاشته بود و ریشه در یک پروژه متنباز چینی به نام BestShell داشت. این اسکریپت پس از فعالسازی، امکان مدیریت کامل فایلها، اجرای دستور از راه دور، ایجاد Shell معکوس و شناسایی امنیتهای نصب شده روی سرور را فراهم میکرد. برای فرار از آنتیویروسها و سیستمهای مانیتورینگ، گروه از قطرهکننده SNOWLIGHT برای نهایی کردن نصب VShell استفاده میکرد. این بدافزار خود را با نام [kworker/0:2] در لیست فرآیندهای هسته پنهان میکند و عملاً با رشتههای پردازشی سیستمعامل ادغام میشود.
اقدامات فوری برای ایمنسازی زیرساختهای وب
مقابله با حملات در مقیاس کلان نیازمند بهروزرسانی روتین و پایش مستمر است. برای دوری از چرخه هدف قرار گرفتن در عملیاتهای مشابه، این موارد را به عنوان خط مقدم دفاعی پیادهسازی کنید:
- بررسی لحظهای نسخه پلاگینها و جایگزینی یا بهروزرسانی فوری پلاگین Breeze برای حذف خطر CVE-2026-3844
- غیرفعال کردن ماژولهای ویرایشگر JCE در جوملا یا جایگزینی آن با استاندارد امنیتی ویرایشگر داخلی
- پیکربندی وبسرور برای رد درخواستهای مشکوک به اسکریپتهای PHP و محدود کردن دسترسیهای فایل
- فعالسازی سیستمهای تشخیص نفوذ (IDS/IPS) و اسکن دورهای فایلهای سیستم برای شناسایی فرآیندهای مقلد هسته
- استفاده از فایروالهای اپلیکیشن وب (WAF) اختصاصی که الگوهای رفتاری اکسپلویتهای کلاسیک را بلاک میکند
بازار سیاه دسترسی به زیرساختهای سازمانی هر روز پیچیدهتر میشود و عملیات WP-SHELLSTORM تنها یک نمونه از تلاش هرج و مرج را برای کسب درآمدهای پایدار از فروش دسترسیهای راهدور نشان میدهد. مدیریت ریسک سایبری دیگر یک گزینه اختیاری برای مدیران فناوری نیست بلکه زیرساخت حیاتی بقای کسبوکار است. پایش تهدیدات به صورت بلادرنگ و تمرکز بر رفع آسیبپذیریهای پلاگینها، کلید اصلی بیرون ماندن از لیست شکارچیان خودکار است. آینده حملات انبوه به سمت خودکارسازی دقیقتر و استفاده از دادههای عمومی حرکت میکند و تنها پاسخ مؤثر، تغییر رویکرد از دفاع نقطهای به امنیت ساختاری است.
