استخدم مجرمو الإنترنت ما يقرب من 2,000 جهاز مخترق. WordPress تُستخدم المواقع الإلكترونية لنشر البرامج الضارة، والتحكم في أجهزة الكمبيوتر المصابة، وتخزين المعلومات المسروقة. ويكشف هذا الاكتشاف كيف يمكن لموقع إلكتروني قديم أن يصبح جزءًا من عملية إجرامية أوسع نطاقًا دون أن يدرك مالكه ذلك.
كشفت شركة Check Point Research عن العملية، التي تحمل اسم StopAndProtect، في 18 أغسطس 2026. وقد جمعت الحملة بين برامج الفدية وسرقة بيانات الاعتماد واستخراج الملفات وقفل الشاشة والعديد من طرق الانتشار بين أجهزة الكمبيوتر.
استخدم WordPress لم تكن المواقع بالضرورة هي الأهداف النهائية للحملة. فقد أعاد المهاجمون استخدامها كبنية تحتية للوصول إلى ضحايا آخرين والسيطرة عليهم.
ماذا اكتشف جهاز Check Point؟
واجهت شركة Check Point عائلة برامج الفدية StopAndProtect لأول مرة في مايو 2026. وأظهرت التحقيقات اللاحقة أن برنامج الفدية لم يكن سوى جزء واحد من مجموعة أدوات برامج ضارة أوسع.
بدأت العملية باختبار CAPTCHA مزيف باستخدام أسلوب الهندسة الاجتماعية المعروف باسم ClickFix. تم توجيه الزوار لنسخ أو تنفيذ أمر PowerShell ظنًا منهم أنهم يكملون خطوة تحقق.
أدى تنفيذ الأمر إلى تنزيل عدة مراحل من البرمجيات الخبيثة. يمكن لهذه المكونات تشفير الملفات، وسرقة بيانات الاعتماد والمستندات، والانتشار عبر أجهزة USB أو مشاركة ملفات ويندوز، وقفل شاشة الضحية، وفتح قناة دردشة بين المهاجم والضحية. جمعت شركة Check Point ما يقارب 31,000 لقطة شاشة من المجلدات المكشوفة بين منتصف مايو ونهاية يوليو. كما عثر الباحثون على أكثر من 700 ملف مضغوط يحتوي على بيانات مسروقة من أجهزة الكمبيوتر المصابة.
كشفت الأخطاء التشغيلية التي ارتكبتها الحملة عن حجمها. فقد احتوت الملفات المستردة من البنية التحتية على قوائم تضم ما يقارب 2,000 اسم مخترق. WordPress تتضمن القوائم نطاقات وشفرات مصدرية لأدوات تُستخدم لإدارة تلك المواقع بشكل جماعي. وقد وصفت شركة تشيك بوينت هذه القوائم بأنها مؤشر على حجم العملية وليست إحصاءً كاملاً لكل موقع مخترق نشط.
كيف كان WordPress المواقع المستخدمة؟
المخترقون WordPress قامت المواقع بتوزيع مراحل البرمجيات الخبيثة، وتمرير الأوامر إلى أجهزة الكمبيوتر المصابة، وتخزين سجلات النشاط والملفات المسروقة. وقد وفر هذا الهيكل الموزع للمهاجمين العديد من النطاقات المنفصلة للعمل من خلالها.
كما استعادت شركة Check Point برنامج تثبيت لبرنامج خبيث لا بد من استخدامه WordPress المكونات الإضافية. يتم تحميل المكونات الإضافية التي يجب استخدامها تلقائيًا ولا تظهر في قائمة المكونات الإضافية العادية بنفس طريقة المكونات الإضافية القياسية.
أنشأ البرنامج المساعد الخبيث نقطة نهاية REST API مخفية مع بيانات اعتماد مُضمّنة. يمكن للمهاجم الذي يعرف بيانات الاعتماد هذه تحميل الملفات، بما في ذلك الملفات التنفيذية. PHP الملفات، في WordPress أثناء عملية التثبيت، قام برنامج التثبيت بتعطيل نفسه وحذفه لجعل التغيير أقل وضوحًا.
أحد المواقع المخترقة التي فحصتها شركة تشيك بوينت كان يدير WordPress إصدار يعود تاريخه إلى عام 2021. حدد الباحثون ما يقرب من 40 ثغرة أمنية محتملة تتعلق بالبرامج القديمة والشهادات المنتهية الصلاحية وحقن SQL وتجاوزات المصادقة وتحميل الملفات ونقاط الضعف الأخرى.
لا يُثبت هذا المثال الوحيد أن جميع المواقع في العملية قد تعرضت للاختراق عبر نفس الثغرة الأمنية، ولكنه يُظهر كيف أن سنوات من الإهمال في الصيانة قد تُبقي العديد من نقاط الدخول مفتوحة.
يمكن أن يكون أفضل WordPress هل ساهمت خدمات الاستضافة في منع حدوث ذلك؟
A تمكن WordPress مضيف يمكن تقليل المخاطر، ولكن لا توجد خطة استضافة يمكنها إزالتها تمامًا. WordPress يعتمد الأمان على المضيف والتطبيق والمكونات الإضافية المثبتة وبيانات اعتماد الحساب وممارسات الصيانة الخاصة بمالك الموقع.
أوتوماتيك WordPress يمكن للتحديثات سدّ الثغرات الأمنية الأساسية المعروفة. كما يمكن لمراقبة ثغرات الإضافات تحديد الإضافات القديمة أو المهجورة. ويقوم جدار حماية تطبيقات الويب بتصفية الطلبات المشبوهة قبل وصولها إلى... WordPressبينما يقوم فحص البرامج الضارة بفحص الملفات بحثًا عن رموز معروفة أو غير عادية.
تضيف الحماية أثناء التشغيل طبقة أخرى من خلال مراقبة ما PHP يُحاول الكود القيام بذلك أثناء التنفيذ. كما يُمكن لعزل الحسابات أن يُحدّ من مدى انتشار المُهاجم عندما يتم اختراق أحد المواقع الإلكترونية على خادم مُشترك.
لا تعمل هذه الضوابط إلا ضمن نطاقها المحدد. قد يغفل جدار الحماية عن طلبات تبدو سليمة تستغل ثغرة أمنية جديدة. كما قد يفشل برنامج فحص البرمجيات الخبيثة في التعرف على حمولة جديدة أو معدلة بشكل كبير. تساعد النسخ الاحتياطية في استعادة موقع الويب، ولكن قد تحتوي النسخة الاحتياطية التي تم إنشاؤها بعد الاختراق على ملفات خبيثة.
ماذا يجب WordPress هل يمكن لأصحاب المواقع التحقق؟
WordPress ينبغي على مالكي المواقع تحديثها WordPress قم بإزالة المكونات الأساسية والإضافات والقوالب، ثم قم بإزالة الإضافات التي لم تعد مستخدمة. قد تظل الإضافة غير النشطة ولكنها عرضة للاختراق تشكل خطرًا أمنيًا إذا بقيت ملفاتها على الخادم.
ينبغي على مديري المواقع مراجعة حسابات المستخدمين، وتغيير كلمات المرور، وتفعيل المصادقة الثنائية، والتحقق من مجلد wp-content/mu-plugins بحثًا عن ملفات غير مألوفة. قد تكشف سجلات الأمان عن عمليات إنشاء غير متوقعة لحسابات المسؤولين، أو عمليات تحميل ملفات، أو نشاط واجهة برمجة تطبيقات REST، أو تغييرات في إضافات التخزين المؤقت.
ينبغي تخزين النسخ الاحتياطية الخارجية لنسخ سليمة خارج حساب الاستضافة. كما يحتاج أصحاب المواقع الإلكترونية إلى اختبار عملية الاستعادة بدلاً من افتراض أن النسخة الاحتياطية المتاحة قابلة للاستخدام.
لا تعني حملة "التوقف والحماية" WordPress هو بحد ذاته غير آمن بطبيعته. وهذا يدل على أن عدم الصيانة WordPress يمكن أن يصبح التثبيت بنية تحتية للهجمات ضد أشخاص يتجاوزون بكثير نطاق الموقع الإلكتروني الأصلي.
