สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จากบริษัท Sucuri เปิดเผยการบุกรุกเว็บไซต์ WordPress ที่ผู้โจมตีวางกลไกฝังตัวหลายชั้น เพื่อให้เพย์โหลดสุดท้ายกลับคืนมาเสมอโดยไม่ต้องเจาะเว็บไซต์ซ้ำ แบ็กดอร์นี้ถูกตั้งชื่อว่า “SC” ตามเครื่องหมาย “SC_” ที่ปรากฏในโค้ดที่ถูก inject และถูกอธิบายว่าเป็น “โครงข่ายซ่อมแซมตัวเอง” (self-healing mesh) ที่ควบคุมผ่านบล็อกเชน จุดเด่นคือเพย์โหลดจะอาศัยอยู่อย่างน้อย 8 จุดพร้อมกัน กระจายทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยทุกจุดสามารถสร้างจุดอื่น ๆ ขึ้นมาใหม่ได้ทั้งหมด
นาย Gabriel Barbosa นักวิจัยของบริษัท Sucuri อธิบายว่า “ลบปลั๊กอิน แล้ว drop-in ก็เขียนมันกลับ ลบ drop-in แล้วธีมก็เขียนกลับ ล้างไฟล์ทุกไฟล์บนดิสก์ การโหลดหน้าถัดไปก็กู้ทั้งชุดคืนจากฐานข้อมูลหรือจากหน่วยความจำร่วม ผลลัพธ์คือระบบที่วนเป็นวงกลม ไม่มีจุดเดียวที่คุณจะลบเพื่อหยุดมันได้” มัลแวร์ตัวนี้ไม่มีชื่อฟังก์ชันที่อ่านได้ แต่ใช้ตัวถอดรหัสแบบ substitution cipher มาคลายโค้ด และเมื่อทำงานจะสื่อสารกับเซิร์ฟเวอร์สั่งการ (C2) ผ่านบล็อกเชน Ethereum สร้างบัญชีผู้ดูแลระบบที่ซ่อนไว้ ซ่อนตัวเองจากหน้าปลั๊กอินและการตรวจอัปเดต และดึงเพย์โหลดเพิ่มมาฉีดสคริปต์ใส่ผู้เข้าชมเว็บไซต์
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 ตุลาคม 2569 โดยอ้างงานวิจัยของบริษัท Sucuri ว่าแบ็กดอร์ SC ประกอบด้วยองค์ประกอบ 8 ส่วนที่ต่างก็สามารถฟื้นคืนส่วนอื่นได้ ส่วนแรกคือไฟล์ .user.ini ที่ตั้งค่า auto_prepend_file ให้รัน loader ก่อนทุกคำขอ PHP ในไดเรกทอรีนั้น ตามด้วยไฟล์ wp-content/c1b12371.php ที่เป็น loader คอยเรียกไฟล์ซ่อนที่ขึ้นต้นด้วยจุด และไฟล์ซ่อน wp-content/.c1b12371.php ซึ่งเป็น loader ขั้นแรกที่ค้นหาและสร้างปลั๊กอินปลอมขึ้นใหม่ใน mu-plugins จากสามแหล่ง
ส่วนที่อันตรายเป็นพิเศษคือไฟล์ wp-content/db.php ที่ถูกโหลดตอน bootstrap และบรรจุเพย์โหลดแบ็กดอร์ทั้งก้อนในรูปแบบบีบอัดและเข้ารหัส Base64 ซึ่งจะถอดรหัสและติดตั้งปลั๊กอินใหม่ทุกครั้งที่หายไป ขณะที่ไฟล์ wp-content/advanced-cache.php จะถูก WordPress โหลดก่อนปลั๊กอินทั่วไปเมื่อเปิดใช้ caching และสร้างปลั๊กอินขึ้นใหม่จากถึงห้าแหล่งอิสระ ได้แก่ mu-plugin ที่มีอยู่ สำเนาปลั๊กอินที่มีอยู่ เซกเมนต์หน่วยความจำร่วมแบบ System V ที่เก็บโค้ด PHP ชุด ZIP และฐานข้อมูล นอกจากนี้ยังมีไฟล์ธีม wp-content/themes/khorshidi/functions.php ที่เป็นฝาแฝดของ db.php และตัวมัลแวร์จริงที่ชื่อ hyper-engine-kit.php ซึ่งติดตั้งทั้งในรูป must-use plugin และปลั๊กอินปกติ รวมถึงสำเนาซ้ำในโฟลเดอร์ปลั๊กอินเพื่อความซ้ำซ้อน
วิธีการโจมตี
ไม่ว่าจะเริ่มทำงานด้วยองค์ประกอบใด แบ็กดอร์จะดำเนินการหลายอย่าง ทั้งการซ่อนตัวจากหน้าปลั๊กอินของแอดมินและการตรวจอัปเดต การสื่อสารกับ C2 ผ่านบล็อกเชน Ethereum การเก็บลายนิ้วมือ (fingerprint) ของเว็บไซต์ที่ติดเชื้อเพื่อดึงเพย์โหลดเพิ่ม การสร้างบัญชีผู้ดูแลระบบที่ซ่อนไว้ และการรันลูปแพร่เชื้อซ้ำ ความสามารถเหล่านี้ทำให้ผู้ควบคุมสามารถยึดเว็บไซต์ WordPress ดึง JavaScript มาฉีดเพื่อเล่นงานผู้เข้าชมด้วย skimmer หรือมัลแวร์อื่น รันโค้ด PHP และปิดหรือลบปลั๊กอินที่ต้องการได้
จุดที่กำจัดยากที่สุดคือการใช้หน่วยความจำร่วมแบบ System V บริษัท Sucuri ระบุว่า “บนเซิร์ฟเวอร์ที่รองรับ System V shared memory เพย์โหลดจะถูกเขียนลงเซกเมนต์ที่ระบุด้วยกุญแจตัวเลขคงที่ เซกเมนต์นั้นอยู่ใน RAM จึงรอดจากการลบไฟล์และการล้างฐานข้อมูล และบนโฮสต์ที่ใช้ร่วมกัน (shared hosting) มันอาจถูกครอบครองโดยบัญชีอื่นได้ด้วยซ้ำ” นอกจากนี้การแพร่เชื้อยังลงทะเบียน cron hook รวมถึงชื่อที่สุ่มขึ้นควบคู่กับ fetch hook ที่รู้จัก โดย system cron จะรันไฟล์ cron ของ WordPress ไม่ใช่ทราฟฟิกจากผู้เข้าชม แล้วจึงกระตุ้นการติดตั้งซ้ำตามกำหนดเวลา ปัจจุบันยังไม่ทราบแน่ชัดว่ามัลแวร์ถูกส่งเข้าสู่เว็บไซต์ได้อย่างไร แต่ช่องทางเข้าถึงเริ่มต้นที่พบบ่อยได้แก่ ช่องโหว่ที่รู้แล้วใน WordPress ปลั๊กอิน และธีม รหัสผ่านที่อ่อนแอ การโจมตีซัพพลายเชนที่เล็งปลั๊กอินยอดนิยม และการใช้ช่องอัปโหลดสื่อหรือฟอร์มที่ไม่ปลอดภัยเพื่อฝัง PHP web shell
ช่องโหว่ wpForo ถูกใช้โจมตีจริง
การเปิดเผยครั้งนี้เกิดขึ้นพร้อมกับที่ช่องโหว่ SQL injection แบบไม่ต้องยืนยันตัวตนระดับ high ในปลั๊กอิน wpForo Forum ของ WordPress (CVE-2026-1581, คะแนน CVSS 7.5) กำลังถูกใช้โจมตีจริง ช่องโหว่นี้กระทบปลั๊กอินทุกเวอร์ชันจนถึงและรวมถึง 2.4.14 ตามข้อมูลการตรวจวัดจากบริษัท Previdian พบความพยายามโจมตีช่องโหว่นี้น้อยกว่า 20 ครั้งนับตั้งแต่วันที่ 3 กรกฎาคม 2026 โดยมาจากที่อยู่ IP ของผู้โจมตี 5 แห่งในบัลแกเรีย สวิตเซอร์แลนด์ ฝรั่งเศส สหรัฐฯ และเยเมน
ผลกระทบ
แบ็กดอร์ SC เป็นเครื่องเตือนว่าการติดเชื้อ WordPress สมัยใหม่อาจเป็น “ระบบ” ไม่ใช่แค่ “ไฟล์” เดียว การลบปลั๊กอินหรือล้างไฟล์ตามวิธีกำจัดมัลแวร์แบบเดิมจึงไม่เพียงพออีกต่อไป เพราะสำเนาที่หลงเหลือเพียงจุดเดียวสามารถเขียนทุกอย่างกลับคืนได้ในการโหลดหน้าถัดไป การซ่อนช่องทางสั่งการไว้ในโครงสร้างบล็อกเชนที่ถูกกฎหมายยังทำให้การบล็อก C2 แบบดั้งเดิมทำได้ยาก เจ้าของเว็บไซต์ที่ใช้ shared hosting ยิ่งมีความเสี่ยงสูงขึ้น เพราะเพย์โหลดในหน่วยความจำร่วมอาจอยู่คนละบัญชีกับไฟล์เว็บ ส่วนช่องโหว่ wpForo ที่ถูกใช้โจมตีจริงก็ตอกย้ำว่าปลั๊กอินและธีมคือพื้นผิวการโจมตีหลักของระบบนิเวศ WordPress ที่ต้องเฝ้าระวังอย่างต่อเนื่อง
คำแนะนำ
ผู้ดูแลเว็บไซต์ WordPress ที่สงสัยว่าติดแบ็กดอร์ SC ควรกำจัดแบบครบวงจรพร้อมกันทุกจุด ทั้งตรวจและลบไฟล์ .user.ini, advanced-cache.php, db.php, ไฟล์ซ่อนที่ขึ้นต้นด้วยจุด, ธีมและปลั๊กอินปลอม รวมถึงเคลียร์เซกเมนต์หน่วยความจำร่วม (System V shared memory) และตรวจสอบฐานข้อมูลควบคู่กัน แทนการลบทีละจุด พร้อมลบบัญชีผู้ดูแลระบบที่ไม่รู้จักและ cron hook ที่น่าสงสัย จากนั้นควรรีเซ็ตรหัสผ่านและกุญแจทั้งหมด อัปเดต WordPress ปลั๊กอิน และธีมให้เป็นเวอร์ชันล่าสุด โดยเฉพาะผู้ที่ใช้ wpForo ต้องอัปเดตให้พ้นเวอร์ชัน 2.4.14 โดยด่วน และควรพิจารณากู้คืนเว็บไซต์จากข้อมูลสำรองที่สะอาดหากไม่มั่นใจว่ากำจัดได้หมด