वर्डप्रेस से WP-VCD मैलवेयर कैसे हटाएं: चरण-दर-चरण गाइड

WP-VCD मैलवेयर, जिसका नाम wp-vcd.php फ़ाइल के नाम पर रखा गया है, वर्डप्रेस क्षेत्र में काफी कहर बरपा रहा है। एक साल से अधिक पहले हमारी सुरक्षा खतरा खुफिया टीम द्वारा इसका पहली बार पता लगाने के बाद से, यह मैलवेयर विकसित हुआ है और अधिक परिष्कृत हो गया है। यहां इस कुख्यात मैलवेयर के विकास के बारे में हमारा शोध और आपकी वेबसाइट पर wp-vcd मैलवेयर संक्रमण को ठीक करने और रोकने का तरीका है।

WP-VCD मैलवेयर के लक्षण:

1. वर्डप्रेस में नए एडमिन उपयोगकर्ता जोड़े गए: हमने हैकर्स को वर्डप्रेस में प्रशासक विशेषाधिकारों के साथ खुद को उपयोगकर्ता के रूप में जोड़ते देखा है।
   
   
2. उच्च संसाधन खपत: WP-VCD मैलवेयर आपके सर्वर संसाधनों का उपभोग करने के लिए जाना जाता है। हमने होस्टिंग कंपनियों को 'उच्च संसाधन उपयोग' का हवाला देते हुए खातों को निलंबित करते भी देखा है।
   
   
3. वेबसाइट लोड समय धीमा हो गया: अक्सर इस मैलवेयर से संक्रमित वेबसाइटों का लोड समय प्रतिकूल रूप से प्रभावित होता है। कुछ मामलों में, हमने देखा है कि जो वेबसाइटें आमतौर पर 2-3 सेकंड में लोड होती हैं, उन्हें लोड होने में 30 सेकंड से अधिक समय लगता है!
   
   
4. अज्ञात JavaScript कोड: हमने कुछ महत्वपूर्ण WP फ़ाइलों जैसे functions.php, index.php, या लगभग सभी कोर WP फ़ाइलों में अज्ञात जावास्क्रिप्ट कोड जोड़ा हुआ देखा है। दूसरा आमतौर पर ठीक करने के लिए एक बुरा सपना होता है, जो अक्सर वेबसाइट को दुर्भावनापूर्ण डोमेन पर भी रीडायरेक्ट करता है।
   
   
5. कोर फ़ोल्डर्स में दुर्भावनापूर्ण PHP कोड: 'WP-VCD' कोड वर्डप्रेस में विभिन्न स्थानों पर जोड़ा जाता है। यहीं से मैलवेयर का नाम आता है। इसके नाम से, कोई यह मान सकता है कि फ़ाइल वर्डप्रेस का हिस्सा है लेकिन कोड विश्लेषण पर पता चलता है कि यह मैलवेयर है।
   
   यहां WP-VCD मैलवेयर का एक उदाहरण है जो wp-includes डायरेक्टरी के भीतर अच्छी तरह से छिपा हुआ है, जिसे एस्ट्रा सिक्योरिटी के मैलवेयर स्कैनर द्वारा फ़्लैग किया गया है।
   
   
   
   

WP-VCD वायरस संक्रमण के प्रमुख कारण:

एक बार संक्रमित होने पर, संक्रमण को हटाना और यह सुनिश्चित करना आवश्यक है कि आगे चलकर आपका वर्डप्रेस वॉटरटाइट सुरक्षित हो। साथ ही, यह जानना भी उतना ही महत्वपूर्ण है कि संक्रमण का स्रोत क्या हो सकता था। हमने जिन कुछ प्रवेश बिंदुओं की पहचान की है उनमें शामिल हैं:

• पायरेटेड और नल्ड थीम्स: WP-VCD मैलवेयर पेड थीम/प्लगइन के पायरेटेड संस्करणों के साथ प्री-इंस्टॉल आता है। इन नल्ड (पायरेटेड) थीम और प्लगइन्स में दुर्भावनापूर्ण स्क्रिप्ट होती हैं जो उन्हें इंस्टॉल करते समय तैनात हो जाती हैं।
  
  एक नल्ड थीम के माध्यम से आपकी वेबसाइट पर पैर जमाने के बाद, यह आपकी साइट पर हर दूसरे थीम को संक्रमित करने लगता है। साझा सर्वर के मामले में, यह मैलवेयर तब उस सर्वर पर होस्ट की गई प्रत्येक असुरक्षित साइट को संक्रमित करने के लिए फैलता है। इसलिए हम अक्सर देखते हैं कि जब वे कंटेनराइज़्ड नहीं होते हैं तो यह मैलवेयर उसी सर्वर पर सभी वेबसाइटों को संक्रमित करता है।
  
  
• अन-अपडेटेड प्लगइन्स और थीम्स: यह लगभग सभी वर्डप्रेस संक्रमणों के शीर्ष कारणों में से एक है। हालांकि, संक्रमण होने के बाद सभी थीम/प्लगइन्स को अपडेट करने का मतलब यह नहीं है कि संक्रमण दूर हो जाएगा। संक्रमण को साफ करना अभी भी आवश्यक है और सक्रिय सुरक्षा सुनिश्चित करना भी, इस पर नीचे और अधिक।
  
  
• वेबसाइट पर कोई सक्रिय सुरक्षा नहीं: सच कहा जाए, तो हैकर्स ने वर्षों में अपनी तकनीकों को विकसित किया है। वे ऐसे हैक्स से हजारों डॉलर कमाते हैं, जिसका मतलब है कि वे इन हैक्स को स्वचालित करने के लिए सैकड़ों डॉलर खर्च कर सकते हैं ताकि एक साथ हजारों/लाखों वेबसाइटों को संक्रमित किया जा सके।
  
  ऐसे विकसित वर्डप्रेस हैक तकनीकों से बचाव के लिए, एक सुरक्षा उपकरण में एक छोटा निवेश बहुत लंबा रास्ता तय करता है। ऐसे समय में आपको सिरदर्द से बचाता है और डाउनटाइम से SEO/मार्केटिंग/बिक्री हानि की रोकथाम एक अतिरिक्त लाभ है।

WP-VCD मैलवेयर वास्तव में कैसे काम करता है?

[कुछ तकनीकी (फिर भी सुपर महत्वपूर्ण) शब्दजाल आगे]

यह समझना वास्तव में महत्वपूर्ण है कि WP-vcd वास्तव में क्या करता है और यह आपके सभी कीमती सर्वर संसाधनों को खाकर आपकी वेबसाइट को धीमा करने में कैसे सक्षम है।

जब दुर्भावनापूर्ण कोड आपकी वेबसाइट में डाला जाता है, तो यह आमतौर पर functions.php/index.php जैसी कोर फ़ाइलों में बैठता है। अब, यह दुर्भावनापूर्ण कोड आपकी वेबसाइट के भीतर फ़ाइलों को कॉल करता है। जब आपका वेबसाइट ब्राउज़र से खोला जाता है, तो यह उन फ़ाइलों तक पहुंचने का प्रयास करता है जिन्हें मैलवेयर कॉल कर रहा है। और ये फ़ाइलें आपकी वेबसाइट पर मौजूद हो भी सकती हैं और नहीं भी, जिससे functions.php फिर से निष्पादित होता है। अनिवार्य रूप से वेबसाइट लोडिंग प्रक्रिया को एक बड़े लूप में लाना। सुरक्षा भाषा में, इसे 'फोर्कबॉम्ब' कहा जाता है।

चरण 1: दुर्भावनापूर्ण स्क्रिप्ट तैनात करता है

आपकी थीम के भीतर functions.php फ़ाइल में, आपको इस तरह का कुछ कोड दिखाई देगा:

<?php if (file_exists(dirname(__FILE__) . '/<b>class.theme-modules.php</b>')) <b>include_once</b>(dirname(__FILE__) . '/<b>class.theme-modules.php</b>'); ?>

यह कोड जांचता है कि क्या डिप्लॉयर स्क्रिप्ट उपलब्ध हैं और बाद में उन्हें निष्पादित करता है। जैसा कि आप ऊपर दिए गए कोड में देख सकते हैं, जिस फ़ाइल को कॉल किया गया है वह class.theme-modules.php फ़ाइल है। अब, संक्रमण कहां से निकलता है (यानी थीम या प्लगइन) के आधार पर, दुर्भावनापूर्ण स्क्रिप्ट class.theme-modules.php या class.plugin-modules.php फ़ाइल में होगी.

चरण 2: बैकडोर बनाता है

<?php //install_code1 error_reporting(0); ini_set('display_errors', 0); DEFINE('MAX_LEVEL', 2); DEFINE('MAX_ITERATION', 50); DEFINE('P', $_SERVER['DOCUMENT_ROOT']); $GLOBALS['<b>WP_CD_CODE</b>'] = 'PD9waHANCmVycm9y...(PHP कोड का बेस64-एन्कोडेड स्ट्रिंग) ...

यह कोड 100010010 जैसे नाम के साथ एक नया एडमिन उपयोगकर्ता बनाता है। इस बैकडोर एडमिन खाते का उद्देश्य यह सुनिश्चित करना है कि हैकर वेबसाइट तक पहुंचने में सक्षम हो, भले ही आप दुर्भावनापूर्ण कोड को हटा दें, मूल रूप से ताकि हमलावर बाद में आपकी वेबसाइट पर हमला कर सकें।

चरण 3: हैकर्स से निर्देश प्राप्त करता है

कभी-कभी हैकर्स अपने C2 सर्वर के URL इंजेक्ट करते हैं। इन URL को बाद में एक ही बार में संक्रमित साइटों पर कार्रवाई तैनात करने के लिए बुलाया जाता है। www.krilns[.]com/code.php​, ​krilns[.]pw​, ​krilns[.]top, आदि डोमेन कई WP-VCD संक्रमित साइटों में इसे निष्पादित करते हुए पाए गए हैं।

चरण 4: अन्य फ़ाइलों और साइटों को संक्रमित करता है

WP-VCD मैलवेयर अगली चीज खुद का विस्तार करना करता है। यह आपकी साइट पर हर थीम और प्लगइन में दुर्भावनापूर्ण स्क्रिप्ट तैनात करता है। अगला, यह उसी सर्वर पर कमजोर साइटों को ढूंढता है और उन्हें भी संक्रमित करता है।

यह प्रसार `wp-includes/wp-vcd.php​` स्थित एक स्क्रिप्ट की तैनाती से शुरू होता है। इसके बाद कोर wp-includes/post.php​ में संशोधन होता है जो अंत में हर पेज पर ​wp-vcd.php​ में कोड निष्पादित करता है।

WP-VCD वर्डप्रेस मैलवेयर को कैसे ठीक करें और हटाएं?

1. दुर्भावनापूर्ण कोड ढूंढना और हटाना: कुछ स्थान हैं जहां दुर्भावनापूर्ण कोड मिलने की संभावना अधिक है। हालांकि, हैकर्स अक्सर मैलवेयर को अधिक रचनात्मक रूप से छिपाने के लिए अपने तरीकों में सुधार करने की कोशिश करते हैं, फिर भी आपके सर्वर पर ये फ़ाइलें/फ़ोल्डर खोज शुरू करने लायक हैं:
   
   
   • wp-includes/wp-vcd.php
   • wp-includes/wp-tmp.php
   • wp-content/themes/*/functions.php (सर्वर पर इंस्टॉल सभी थीम चाहे सक्रिय हों या नहीं)
   • class.wp.php
   • code1.php
   • class.theme-modules.php (थीम फ़ोल्डर के अंदर)
     
     
2. दुर्भावनापूर्ण स्ट्रिंग पैटर्न खोजना: संक्रमित मैलवेयर फ़ाइलों में पाए जाने वाले स्ट्रिंग पैटर्न की खोज करने से आपको खोज को सीमित करने में मदद मिलती है। उनमें से कुछ नीचे उल्लिखित हैं:
   
   
   • tmpcontentx
   • function wp_temp_setupx
   • wp-tmp.php
   • derna.top/code.php
   • stripos($tmpcontent, $wp_auth_key)
     
     
3. functions.php का विश्लेषण करें: यह फ़ाइल हैकर्स द्वारा संक्रमित शीर्ष फ़ाइलों में से एक है। functions.php में कोड की समीक्षा करने से wp-vcd मैलवेयर के नियंत्रण कोड का पता चल सकता है।
   
   
4. कोड प्रामाणिकता सुनिश्चित करने के लिए डिफ़ चेक चलाएं: अपने सर्वर पर फ़ाइल सामग्री का वर्डप्रेस कोर GitHub रिपॉजिटरी या थीम/प्लगइन डायरेक्टरी में संबंधित फ़ाइलों के साथ डिफ़ चेक चलाएं। आप SSH या अपने IDE का उपयोग करके दोनों दृष्टिकोणों (या दोनों) का उपयोग कर सकते हैं।
   
   
   (फ़ाइल अंतर जांच, एस्ट्रा के मैलवेयर स्कैनर से स्क्रीनशॉट दिखाता है कि index.php फ़ाइल के शीर्ष पर मैलवेयर जोड़ा गया है)
   
   
5. मैलवेयर स्कैन चलाएं: ऐसे मैलवेयर संक्रमण स्थितियों में, एक मैलवेयर स्कैनर आपको मैलवेयर की खोज में घंटों बचा सकता है (जो अभी भी सफलता की गारंटी नहीं देता)। मैलवेयर स्कैनर न केवल सर्वर की प्रत्येक फ़ाइल को स्कैन करता है बल्कि यह सुनिश्चित करता है कि आपके वर्डप्रेस की कोर फ़ाइलों में हर अंतर इंगित किया गया है।

WP VCD मैलवेयर आपकी साइट में पुराने प्लगइन्स और थीम में खामियों का फायदा उठाकर पैर जमाता है। अधिकांश WP-VCD मामलों में, वेब मालिक अनधिकृत स्रोतों से मुफ्त/नल्ड प्लगइन और थीम इंस्टॉल करके खुद को संक्रमित करते हैं, जबकि अन्य में यह संक्रमित साइटों द्वारा संदूषण के परिणामस्वरूप होता है।

संबंधित गाइड - वर्डप्रेस पर व्यापक गाइड
युक्ति: वर्डप्रेस को दुर्भावनापूर्ण कोड के लिए स्कैन करें

ऐसे हैक्स से सीखे जाने वाले सबसे बड़े सबक में से एक है यह सुनिश्चित करना कि आगे चलकर आपकी वेबसाइट सुरक्षित है। इस तरह की हैक स्थिति में न पड़ना एस्ट्रा सिक्योरिटी सूट का उपयोग करके पूरी तरह से संभव है जो दुनिया भर के हजारों वेबसाइटों की सुरक्षा को शक्ति प्रदान करता है, हर दिन लाखों हमलों और मैलवेयर को रोकता है!