WordPress Sitelerini Hedef Alan Sahte Güvenlik Eklentisi Tehlike Oluşturuyor

Wordfence araştırmacılarına göre, 2025’in başlarında ortaya çıkan yeni bir zararlı yazılım kampanyası, WordPress sitelerini hedef alarak güvenlik eklentisi gibi görünen sahte bir eklentiyle arka kapı yerleştiriyor. Kullanıcıların güvenini kazanan bu eklenti, sistemlere kalıcı erişim sağlıyor, uzaktan kod çalıştırabiliyor ve JavaScript enjeksiyonu yapabiliyor.

wp-cron.php Dosyası Eklentiyi Yeniden Oluşturuyor

İlk olarak ocak ayının sonlarında yapılan bir site temizliği sırasında keşfedilen bu zararlı yazılım, WordPress’in zamanlama mekanizması olan wp-cron.php dosyasının değiştirilmiş bir sürümünü içeriyor. Bu dosya, “WP-antymalwary-bot.php” adında kötü amaçlı bir eklentiyi otomatik olarak oluşturuyor ve etkinleştiriyor. Wordfence araştırmasına göre, saldırganlar aşağıdaki isimlerde farklı sahte eklentiler de kullanıyor:

• addons.php
• wpconsole.php
• wp-performance-booster.php
• scr.php

Bu eklentiler silinse bile wp-cron.php dosyası bir sonraki site ziyareti sırasında bunları otomatik olarak yeniden oluşturuyor ve aktif hâle getiriyor.

Saldırının tam olarak nasıl gerçekleştiği net değil; çünkü sunucu günlüklerine ulaşılamamış. Ancak Wordfence, saldırının büyük olasılıkla ele geçirilmiş bir FTP hesabı ya da barındırma kontrol paneli üzerinden yapıldığını düşünüyor. Komuta ve kontrol (C2) sunucusunun Kıbrıs’ta olduğu tespit edildi. Ayrıca bu saldırının, 2024’te yaşanan bir tedarik zinciri saldırısıyla benzerlik taşıdığı belirtildi.

Sahte eklenti, etkinleştirildiği anda saldırgana acil durum girişi (emergency_login_all_admins) fonksiyonu üzerinden yönetici erişimi sağlıyor. Bu özellik sayesinde saldırgan, URL’ye eklediği özel bir GET parametresi ve doğru şifre ile mevcut yönetici hesaplarından birine otomatik olarak giriş yapabiliyor. Eklenti ayrıca, kimlik doğrulama gerektirmeyen özel bir REST API rotası tanımlıyor. Bu rota üzerinden saldırganlar:

• Tüm tema dosyalarının header.php dosyasına rastgele PHP kodu ekleyebiliyor,
• Ön bellekleri temizleyebiliyor,
• POST parametreleriyle başka komutlar çalıştırabiliyor.

Güncellenmiş sürümde, header.php dosyasının <head> bölümüne base64 ile kodlanmış JavaScript yerleştirilerek ziyaretçilere reklam gösterilmesi, istenmeyen sitelere yönlendirme ya da spam içeriği sunma gibi işlemler gerçekleştirilebiliyor. Uzmanlar, web sitesi sahiplerinin şu konulara dikkat etmesi gerektiğini söyledi:

• wp-cron.php ve tema dosyası olan header.php içinde beklenmeyen kodlar
• Aşağıdaki GET ve POST parametrelerinin erişim günlüklerinde görülmesi:
  • emergency_login
  • check_plugin
  • urlchange
  • key

Yukarıda yer alan belirtiler, sistemin potansiyel olarak ele geçirildiğine işaret edebilir ve detaylı bir inceleme yapılmasını gerektirebilir.

Wordfence ekibi, saldırının kaynağının Kıbrıs’taki bir komuta kontrol sunucusu olduğunu belirtiyor. Benzer özellikler, Haziran 2024’teki bir tedarik zinciri saldırısında da görülmüştü.