近期WordPress安全事件最近频发，上次出了一个恶意软件SoakSoak，现在又来了一个与其有关的恶意软件感染事件——WPcache-Blogger。这场事件由一个被恶意软件控制的网站wpcache-blogger.com命名，虽然同样由于RevSlider漏洞引起，但是攻击手法迥异。在过去几天里，已有5万Wordpress网站受到影响。

RevSlider是一款WordPress幻灯片插件，攻击者可能利用了该插件的任意文件下载漏洞获取了大量的WordPress的wp-config.php配置文件，并通过任意文件上传漏洞上传webshell对WordPress的源码文件进行修改，插入了恶意代码。

‍‍恶意软件SoakSoak其主要攻击手段是以RevSlider插件漏洞为切入点，通过上传一个后门，然后对所有使用该服务器的网站进行感染。这就意味着即使该网站不使用RevSlider也会被感染，因此其具有强大的传播能力。

感染集群

与上次FreeBuf介绍的恶意软件SoakSoak不同，这次的主角WPcache-Blogger由三个感染控制体系组成了一个感染集群。在这里我们做一下详细分析：

1.wpcache-blogger

网站wpcache-blogger.com作为恶意软件主控端，以作远程命令分发和控制之用。Google表示其屏蔽的12,418个黑名单网站是因为受其影响。

该网站在过去的三个月里被挂上了该恶意软件，波及了大概12,418个网站域名，其中包括bertaltena.com，polishexpress.co.uk，maracanafoot.com。

2.ads.akeemdom.com

本感染体系似乎是SoakSoak背后的黑客组织所为，但是影响规模较小一些，据Google统计至今受影响的有6,086个网站。在过去的三个月里，影响的网站包括fitforabrideblog.com，notjustok.com，notanotherpoppie.com。

3.122.155.168.0

这个感染体系在SoakSoak事件发生之后不久开始活跃，不过最近其进度似乎慢了下来。据Google统计，受影响的网站大概有9,731个。

这个网站为恶意软件进行分布式控制的中间件，在过去的三个月里，122.155.168.0作为中间件影响了9,731个网站，其中包括kitchenandplumbing.com，salleurl.edu，radiorumba.fm。

恶意软件框架

据Google安全浏览网站列表统计，在这段时间内共有28,235网站遭到波及。而在我们内部的分析结果中，却有超过50,000个WordPress网站在以上感染控制体系中躺枪，也就是说Google的黑名单网站库并没有囊括完全。

然而，WPcache-blogger事件的恶意软件已经影响了许多网站，其强大的感染力是其最具攻击性的的一点。当它感染了一个站点后，会在该主题的页脚下添加如下代码：

eval ( base64_decode("ZnVuY..

这段代码会连接http://wpcache-blogger.com/getlinks.php，反馈信息给恶意软件框架背后的黑客。有趣的是，在你刷新页面时，它会通过一个iframe框架加载假冒的Google网站页面。

真实的例子：

<iframe src="httx://theme.wpcache-blogger.com/css&quot...

但是它可能有时候会伪装显示为正常代码，让你难以检测:

<iframe src="http://google.com"..

如果你发现你的网站上有个链接到Google.com的iframe框架时，你得检查下自己是不是已经被黑了。

安全建议

我们建议你必须尽快升级以避免新的攻击，尽管升级并不能清理你的网站后门，但对于控制该漏洞的危害还是有帮助的。

升级之后你需要对网站进行一个全面的安全清理和木马后门检测。仅仅重装你的WordPress并不能解决问题，正如先前提到的一样，这次的攻击与恶意软件soaksoak一样，会大面积地对网站注入了后门。因此即使重装WordPress，黑客依然可以轻松越过防护重新取得你网站的权限。‍‍