FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

一场大规模钓鱼攻击正针对WooCommerce用户，通过伪造安全警报诱使他们下载所谓的"关键补丁"，实则为植入WordPress后门的恶意程序。

恶意插件植入

根据Patchstack研究人员发现，上当受骗的用户在下载更新时，实际上安装的是恶意插件。该插件会：

1. 在网站上创建隐藏管理员账户
2. 下载Web Shell攻击载荷
3. 维持持久性访问权限

此次攻击似乎是2023年末类似攻击的延续，当时攻击者同样以虚构漏洞的虚假补丁针对WordPress用户。研究人员指出，两次攻击使用了相同的Web Shell组合、完全一致的载荷隐藏方法以及相似的邮件内容。

伪造安全警报

攻击者伪装成WooCommerce官方，使用"help@security-woocommerce[.]com"地址向网站管理员发送钓鱼邮件。邮件声称收件人网站正面临"未授权管理访问"漏洞攻击，并附带"立即下载补丁"按钮和详细安装指南。

邮件内容节选： "我们在2025年4月14日发现WooCommerce平台存在关键安全漏洞...4月21日的最新安全扫描确认该漏洞直接影响您的网站...强烈建议您立即采取措施保护商店和数据安全。"

针对WooCommerce用户的钓鱼邮件来源：Patchstack

同形异义字攻击

点击"下载补丁"按钮会跳转至高度仿冒WooCommerce的恶意网站"woocommėrce[.]com"。攻击者使用立陶宛字符"ė"(U+0117)替代字母"e"，实施同形异义字攻击，这种细微差别极易被忽视。

仿冒WooCommerce平台的恶意网站来源：Patchstack

感染后活动

受害者安装了虚假的安全修复程序（“authbypass-update-31297-id.zip”）后，该程序会创建一个随机命名的定时任务（cronjob），每分钟运行一次，试图创建一个新的管理员级别用户。

接下来，该插件会通过向 “woocommerce-services [.] com/wpapi” 发送 HTTP GET 请求来注册受感染的网站，并获取第二阶段经过混淆处理的有效载荷。进而在 “wp-content/uploads/” 目录下安装多个基于 PHP 的网页后门，包括 P.A.S.-Form、p0wny 和 WSO。

Patchstack 评论称，这些网页后门可让人完全控制网站，可能被用于广告注入、将用户重定向到恶意网站、让服务器加入分布式拒绝服务攻击（DDoS）僵尸网络、窃取支付卡信息，或者执行勒索软件来加密网站并向网站所有者敲诈勒索。

为了逃避检测，该插件会将自身从可见的插件列表中移除，并且还会隐藏它创建的恶意管理员账户。

Patchstack 建议网站所有者仔细检查那些名称为 8 个字符的随机名称的管理员账户、不寻常的定时任务、名为 “authbypass-update” 的文件夹，以及向 woocommerce-services [.] com、woocommerce-api [.] com 或 woocommerce-help [.] com 发出的出站请求。

不过，一旦这些威胁指标通过公开研究曝光，威胁行为者通常会更改所有这些指标，所以务必不要依赖于小范围的扫描。

参考来源：

WooCommerce admins targeted by fake security patches that hijack sites

免责声明

1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。

2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。

3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）