[ফিক্সড] কিভাবে ওয়ার্ডপ্রেসে WP-VCD ম্যালওয়্যার সরাতে হয়

WP-VCD ম্যালওয়্যার, wp-vcd.php ফাইলের নামানুসারে ওয়ার্ডপ্রেস স্পেসে বেশ বিপর্যয় সৃষ্টি করছে। এক বছরেরও বেশি সময় আগে আমাদের নিরাপত্তা হুমকি গোয়েন্দা দলের দ্বারা এটি প্রথম সনাক্তকরণের পর থেকে, এই ম্যালওয়্যারটি বিবর্তিত হয়েছে এবং আরও পরিশীলিত হয়েছে৷ এই কুখ্যাত ম্যালওয়্যারের বিবর্তন এবং আপনার ওয়েবসাইটে wp-vcd ম্যালওয়্যার সংক্রমণ কীভাবে ঠিক করা যায় এবং প্রতিরোধ করা যায় সে সম্পর্কে আমাদের গবেষণা এখানে রয়েছে৷

WP-VCD ম্যালওয়ারের লক্ষণ:

ওয়ার্ডপ্রেসে নতুন অ্যাডমিন ব্যবহারকারীরা যুক্ত হয়েছে: আমরা দেখেছি হ্যাকাররা অ্যাডমিনিস্ট্রেটর বিশেষাধিকার সহ ওয়ার্ডপ্রেসে ব্যবহারকারী হিসেবে নিজেদের যুক্ত করে।
উচ্চ সম্পদ খরচ: WP-VCD ম্যালওয়্যার আপনার সার্ভার সংস্থানগুলিকে গ্রাস করতে পরিচিত৷ আমরা হোস্টিং কোম্পানিগুলিকে কারণ হিসাবে 'উচ্চ সম্পদের ব্যবহার' উল্লেখ করে অ্যাকাউন্ট স্থগিত করতে দেখেছি।
ওয়েবসাইট লোডের সময় ধীর হয়েছে: প্রায়শই এই ম্যালওয়্যার দ্বারা সংক্রামিত ওয়েবসাইটগুলির লোড সময় বিরূপভাবে প্রভাবিত হয়। কিছু ক্ষেত্রে, আমরা এমন ওয়েবসাইট দেখেছি যেগুলি লোড হতে সাধারণত 2-3 সেকেন্ড সময় নেয় এবং লোড হতে 30 সেকেন্ডের বেশি সময় নেয়!
অজানা জাভাস্ক্রিপ্ট কোড: আমরা কিছু গুরুত্বপূর্ণ WP ফাইল যেমন functions.php, index.php বা প্রায় সমস্ত মূল WP ফাইলে অজানা জাভাস্ক্রিপ্ট কোড যোগ করা দেখেছি। দ্বিতীয়টি সাধারণত একটি দুঃস্বপ্ন ঠিক করা হয়, যা প্রায়শই ওয়েবসাইটটিকে দূষিত ডোমেনেও পুনঃনির্দেশিত করে।
কোর ফোল্ডারের মধ্যে ক্ষতিকারক PHP কোড: ওয়ার্ডপ্রেসের মধ্যে বিভিন্ন জায়গায় ‘WP-VCD’ কোড যোগ করা হয়েছে। এই যেখান থেকে ম্যালওয়ারের নাম এসেছে। এর নাম থেকে, কেউ অনুমান করতে পারে যে ফাইলটি ওয়ার্ডপ্রেসের একটি অংশ কিন্তু কোড-বিশ্লেষণে দেখা যাচ্ছে এটি ম্যালওয়্যার।

এখানে একটি WP-VCD ম্যালওয়্যারের একটি উদাহরণ রয়েছে যা ডাব্লুপি-অন্তর্ভুক্ত ডিরেক্টরির মধ্যে লুকিয়ে আছে, যা Astra সিকিউরিটির ম্যালওয়্যার স্ক্যানার দ্বারা পতাকাঙ্কিত।

WP-VCD ভাইরাস সংক্রমণের প্রধান কারণ:

একবার সংক্রমিত হলে, সংক্রমণ অপসারণ করা এবং আপনার ওয়ার্ডপ্রেসকে জলরোধী সুরক্ষিত নিশ্চিত করা অত্যাবশ্যক। একই সময়ে, প্রথম স্থানে সংক্রমণের উত্স কী হতে পারে তা জানাও সমান গুরুত্বপূর্ণ। আমরা চিহ্নিত করেছি এমন কয়েকটি এন্ট্রি পয়েন্টের মধ্যে রয়েছে:

পাইরেটেড এবং বাতিল থিম: WP-VCD ম্যালওয়্যার একটি প্রদত্ত থিম/প্লাগইনের পাইরেটেড সংস্করণের সাথে আগে থেকে ইনস্টল করা হয়। এই বাতিল (পাইরেটেড) থিম এবং প্লাগইনগুলিতে ক্ষতিকারক স্ক্রিপ্ট রয়েছে যা আপনি যখন ইনস্টল করেন তখন স্থাপন করা হয়৷

After setting its foot on your website through a nulled theme, it goes on to infect every other theme on your site. In the case of a shared server, this malware then propagates to infect each unprotected site hosted on that server. That’s why we often see this malware infects all the websites on the same server when they aren’t containerized.
Un-updated plugins &themes: This is one of the top causes of almost all WordPress infections. However, updating all the themes/plugins after the infection has happened doesn’t mean the infection would go away. Cleaning the infection is still required and so is ensuring proactive security, more on it below.
No proactive security on the website: Truth be told, hackers have evolved their techniques over the years. They gain thousands of dollars from such hacks, which means that they can spend hundreds of dollars automating these hacks to infect thousands/millions of websites at once.

To protect against such evolved WordPress hack techniques, a small investment in a security tool goes a long long way. Saves you headaches at times like these and prevention of SEO/marketing/sales loss from the downtime is another added benefit.

How exactly does the WP-VCD malware work?

[some technical (yet super important) jargon ahead]

It’s really important to understand what exactly does WP-vcd does and how it’s able to slow your website eating up all your precious server resources.

When malicious code is inserted in your website, it usually sits in core files like functions.php/index.php. Now, this malicious code makes a call to files within your website. When your website is opened from the browser, it tries to reach the files to which malware is making the call. And these files may or may not exist on your website causing the functions.php to get executed again. Essentially bringing the website loading process to a big loop. This, in the security language, is called a ‘forkbomb’.

[ফিক্সড] কিভাবে ওয়ার্ডপ্রেসে WP-VCD ম্যালওয়্যার সরাতে হয়

Step 1:Deploys malicious scripts

In the functions.php file within your theme, you would see some code similar to this:

<?php if (file_exists(dirname(__FILE__) . '/<b>class.theme-modules.php</b>')) <b>include_once</b>(dirname(__FILE__) . '/<b>class.theme-modules.php</b>'); ?>

This code checks if there are deployer scripts available and subsequently executes them. As you can see in the code above, the file that’s been called is the class.theme-modules.php file. Now, depending on where the infection emanates from (i.e. theme or plugin), the malicious script will be in file class.theme-modules.php or class.plugin-modules.php respectively.

Step 2:Creates backdoor

<?php
 
//install_code1
error_reporting(0);
ini_set('display_errors', 0);
DEFINE('MAX_LEVEL', 2); 
DEFINE('MAX_ITERATION', 50); 
DEFINE('P', $_SERVER['DOCUMENT_ROOT']);

$GLOBALS['<b>WP_CD_CODE</b>'] = 'PD9waHANCmVycm9y...(base64-encoded string of PHP code)
...

This code creates a new admin user with a name similar to 100010010 . The objective of this backdoor admin account is to make sure that the hacker is able to access the website even if you delete the malicious code basically, so that the attackers could attack your website at a later point in time.

Step 3:Gets instructions from hackers

Sometimes hackers inject URLs of their C2 servers. These URLs are later called to deploy action across the infected sites in one go. Domains such as www.krilns[.]com/code.php , krilns[.]pw , krilns[.]top , etc have been found executing this in many WP-VCD infected sites.

Step 4:Infects other files and sites

The next thing that the WP-VCD malware does is to expand itself. It deploys the malicious script in every theme and plugin on your site. Next, it goes on to find vulnerable sites on the same server and infects them too.

This propagation starts with the deployment of a script located at wp-includes/wp-vcd.php . It’s followed by modifications in the core wp-includes/post.php which at last execute the code in wp-vcd.php on every page.

How to fix &remove the WP-VCD WordPress malware?

Finding &removing malicious code: There are a few places where probability of finding the malicious code is high. Though, hackers often try to improve their ways to hide the malware more creatively still these files/folders on your server are worth starting the hunt from:
- wp-includes/wp-vcd.php
- wp-includes/wp-tmp.php
- wp-content/themes/*/functions.php (all themes installed on the server whether active or not)
- class.wp.php
- code1.php
- class.theme-modules.php (inside the theme folder)
Searching malicious string patterns :Searching for string patterns that are found in infected malware files helps you in narrowing down the search. A few of them mentioned below:
- tmpcontentx
- ফাংশন wp_temp_setupx
- wp-tmp.php
- derna.top/code.php
- stripos($tmpcontent, $wp_auth_key)
Analyze functions.php: This file is one of the top infected files by hackers. Reviewing the code in functions.php can reveal the controlling code of wp-vcd malware.
Run a diff check to ensure code authenticity: Run a diff check of the file contents on your server with corresponding files in the WordPress core GitHub repository or theme/plugin directory. You can use either of the approaches (or both) using SSH or using your IDE.

(File difference checking, screenshot from Astra’s malware scanner showing malware added at the top of index.php file)
Run a malware scan: In such malware infection situations, a malware scanner can save you hours of hunting for malware (which still doesn’t guarantee success). Malware scanner not only scans each and every file of the server but ensures every difference in core files of your WordPress is pointed out.

The WP VCD malware gets a foothold in your site by leveraging loopholes in outdated plugins and themes. In most WP-VCD cases, the web owners infect themselves by installing a free/nulled plugin &themes from unauthorized sources, while in others it occurs as a result of contamination by infected sites.

Related Guide – Comprehensive Guide on WordPress
Tip:Scan WordPress for malicious cod e

One of the biggest lessons to be learnt from such hacks is to ensure your website is secure going forward. Not ending up in a hack situation like this is totally possible using Astra Security Suite that powers security of thousands of websites around the globe, stopping millions of attack and malware every day!