Per non farci mancare nulla, plausibilmente ci troviamo davanti ad uno ZeroDay attivamente sfruttato su larga scala a partire tra luglio ed agosto 2026 su WordPress.
L'attaccante, su qualsiasi versione (anche aggiornata, con plugin, temi, wp e persino OS all'ultima versione) è in grado di fare SQL injection iniettando, per l'appunto, gli account amministrativi. Non si sa come e non si sa dove, tutto automagicamente stealth. Ed ecco il primo step servito:
Il secondo step prevede di installare delle backdoor. Come farebbe un amministratore vero.
Il pezzo più interessante: wp-clicksync.php fa due cose per non farsi trovare. Si cancella dall'elenco dei plugin e non esegue nulla se sei loggato come amministratore. Chi guardava il sito da amministratore non poteva vederlo, né nel pannello né nelle pagine.
Il codice, una volta decifrato (base64 + XOR), interroga otto nodi pubblici della blockchain Polygon e chiede a un contratto quale sia l'indirizzo del server da contattare.
Un aneddoto simpatico nato dalle nostre indagini forensi, su di un server erano in più di uno, e si davano fastidio a vicenda. Ci sono firme indonesiane (D7net), cinesi (chinafans) e una terza serie W2S che il 30 agosto ha installato un finto plugin descritto testualmente come "Blocks anonymous REST batch API (wp2shell mitigation)"; cioè una difesa contro gli altri attaccanti. Fantastico.
Il terzo step consente di fare defacement, replacement di index o mettere banalmente ciò che si vuole, fare SEO Spam e qualunque biricchinata si renda opportuna. Come questa splendida verifica CloudFlare farlocca (comunque più semplice dei captcha di google sotto VPN anonima).
Qui hanno fatto troppo rumore ed hanno sollevato il polverone. Solo su uno dei server analizzati, hanno caricato 56.979 file per un totale di 11Gb, di cui 3.627 in 20 minuti con 2.220 directory create. Il perché dei 3.627 file dell'11 agosto è la parte interessante: non stavano infettando 3.627 pagine, stavano seminando esche. Il grosso sono index.php clonati in cartelle vuote (plugins/qualcosa/include/include/index.php) e 2.220 cartelle create apposta per ospitarli. Serve a sopravvivere alla pulizia.
In questo specifico caso c'è poi una funzione che, con la password giusta, crea il file di verifica di Google Search Console. Si erano registrati come proprietari del dominio: non subivano la scansione di Google, la pilotavano. L'elenco dei crawler che il malware evita è una dichiarazione d'intenti: SemrushBot, AhrefsBot, MJ12bot, BLEXBot, Acunetix. Sono esattamente gli strumenti con cui i professionisti SEO scoprono le reti di link finti.
Il costo, che nessuno ha visto arrivare: 6.859.738 richieste e 133,5 GB in quindici giorni. Media 8,9 GB al giorno, punta di 14,2 GB il 21 agosto. Le richieste di persone vere, nella giornata campione, erano circa 2.600: lo 0,6%. Il traffico è piatto sulle ventiquattr'ore, un sito con visitatori umani ha una curva; questo no. È la firma di una macchina che lavora per altre macchine, ed è anche il motivo per cui non se n'era accorto nessuno: il sito non rallentava a un'ora precisa, era sempre occupato. Con buona pace di chi paga il cloud a consumo (amen).
Due dettagli da cronaca: l'attaccante si traveste da Googlebot per controllare il proprio lavoro. Dallo stesso IP, 31.58.166.21, prima passa in rassegna le sue 24 backdoor una per una, poi torna con lo user-agent di Googlebot su /yytest/ per verificare che il cloaking funzioni. Molto ingegnoso, non c'è che dire.
Buon rientro dalle ferie!
