هشدار امنیتی به مدیران وب‌سایت‌ها؛ مهاجمان به‌دنبال سوءاستفاده از آسیب‌پذیری‌های جدید وردپرس و دروپال هستند
مهاجمان آسیب‌پذیری وردپرس و دروپال را هدف گرفتند. کمپین Yoba با برنامه‌های جعلی ChatGPT بدافزار استخراج رمزارز منتشر کرد و اف‌بی‌آی دامنه Virtualine را توقیف کرد.
در تازه‌ترین تحولات امنیت سایبری، سه رویداد مهم از افزایش فعالیت مهاجمان در حوزه وب، سوءاستفاده از محبوبیت ابزارهای هوش مصنوعی و برخورد قضایی با زیرساخت‌های مورد استفاده مجرمان سایبری حکایت دارند. آغاز تلاش‌ها برای بهره‌برداری از آسیب‌پذیری‌های تازه وردپرس و دروپال، شناسایی کمپینی برای توزیع بدافزار استخراج رمزارز در قالب برنامه‌های جعلی هوش مصنوعی و توقیف دامنه یک شرکت میزبانی ضدگلوله توسط اف‌بی‌آی، محورهای اصلی اخبار امروز هستند. وجه مشترک این تحولات، استفاده مهاجمان از نقاط ضعف نرم‌افزاری، اعتماد کاربران به ابزارهای شناخته‌شده و زیرساخت‌های تسهیل‌کننده جرایم آنلاین است.
آغاز تلاش‌های گسترده برای سوءاستفاده از آسیب‌پذیری جدید وردپرس
تنها چند ساعت پس از انتشار وصله امنیتی جدید وردپرس، مهاجمان تلاش برای شناسایی و بهره‌برداری از یک آسیب‌پذیری در هسته این سامانه مدیریت محتوا را آغاز کردند. این آسیب‌پذیری که در نسخه 7.1.4 برطرف شده و اصلاحیه آن برای نسخه‌های قدیمی‌تر تا شاخه 4.7 نیز ارائه شده است، به یک وضعیت رقابتی (Race Condition) در فرآیند به‌روزرسانی هسته وردپرس مربوط می‌شود. در چنین شرایطی، مهاجم می‌تواند با سوءاستفاده از یک بازه زمانی بسیار کوتاه در جریان به‌روزرسانی، زمینه اجرای کد از راه دور را بدون نیاز به احراز هویت فراهم کند.
بر اساس داده‌های منتشرشده از سوی Wordfence، بیش از ۱۸ هزار و ۵۰۰ تلاش برای بررسی یا سوءاستفاده از این آسیب‌پذیری طی ۲۱ ساعت نخست پس از انتشار اصلاحیه ثبت شده است. با این حال، تا زمان انتشار گزارش، مورد تأییدشده‌ای از نفوذ موفق از طریق این آسیب‌پذیری اعلام نشده است.
اهمیت این رویداد: سرعت واکنش مهاجمان نشان می‌دهد فاصله زمانی میان انتشار یک وصله امنیتی و آغاز تلاش برای سوءاستفاده از آسیب‌پذیری می‌تواند بسیار کوتاه باشد. مدیران وب‌سایت‌ها نباید نصب به‌روزرسانی را به زمان دیگری موکول کنند؛ به‌خصوص اگر وب‌سایت آن‌ها از نسخه‌های قدیمی وردپرس یا افزونه‌های آسیب‌پذیر استفاده می‌کند. تهیه نسخه پشتیبان، بررسی گزارش‌های ورود و فعالیت‌های مشکوک و اطمینان از به‌روزرسانی هسته و افزونه‌ها نیز باید در برنامه نگهداری امنیتی وب‌سایت قرار داشته باشد.
هشدار دروپال درباره سوءاستفاده فعال از آسیب‌پذیری بحرانی Commerce Core
در رویدادی دیگر، دروپال از سوءاستفاده فعال مهاجمان از یک آسیب‌پذیری بحرانی در ماژول Commerce Core خبر داده است. این ماژول یکی از اجزای مهم فروشگاه‌های اینترنتی مبتنی بر دروپال محسوب می‌شود و وظایفی مانند مدیریت سبد خرید و فرآیند پرداخت را بر عهده دارد.
بر اساس اطلاعات منتشرشده، نبود برخی بررسی‌های ضروری احراز هویت و کنترل دسترسی در این ماژول می‌تواند به مهاجمان اجازه دهد به مسیرها و فیلدهایی دسترسی پیدا کنند که باید محافظت شده باشند. چنین ضعفی در زیرساخت یک فروشگاه اینترنتی فقط یک مشکل فنی نیست؛ زیرا دسترسی غیرمجاز به بخش‌های حساس سامانه می‌تواند امنیت اطلاعات، فرآیند سفارش‌گذاری و عملکرد تجاری کسب‌وکار را تحت تأثیر قرار دهد.
اهمیت این رویداد: فروشگاه‌های اینترنتی از جمله اهداف جذاب مهاجمان هستند؛ زیرا اختلال در فرآیند خرید یا دسترسی غیرمجاز به بخش‌های حساس آن‌ها می‌تواند پیامدهای مالی و اعتباری به همراه داشته باشد. مدیران سامانه‌های مبتنی بر دروپال باید نسخه Commerce Core مورد استفاده خود را بررسی کرده و در سریع‌ترین زمان ممکن به نسخه اصلاح‌شده ارتقا دهند. همچنین بررسی لاگ‌های سرور، درخواست‌های غیرعادی و دسترسی‌های ثبت‌شده به بخش‌های مدیریتی اهمیت زیادی دارد.
بدافزار استخراج رمزارز در پوشش برنامه‌های دسکتاپ هوش مصنوعی
شرکت امنیت سایبری Check Point از شناسایی کمپینی با نام Yoba خبر داده است که در آن مهاجمان از محبوبیت ابزارهای هوش مصنوعی برای توزیع بدافزار استفاده می‌کنند. در این کمپین، پروژه‌های جعلی در گیت‌هاب با ظاهر و عنوان برنامه‌های دسکتاپ مرتبط با ChatGPT و Claude منتشر شده‌اند و حتی در نتایج موتورهای جست‌وجو دیده می‌شوند.
روش توزیع این بدافزار به‌گونه‌ای طراحی شده که کاربر تصور می‌کند یک نرم‌افزار معتبر را دانلود کرده است؛ اما فایل دریافت‌شده علاوه بر نصب‌کننده‌ای که ظاهری معتبر دارد، شامل مؤلفه مخربی نیز هست که برنامه اصلی آن را به‌صورت خودکار دریافت و اجرا می‌کند.
بر اساس گزارش منتشرشده، محموله مخرب این کمپین یک استخراج‌کننده رمزارز است که ارتباطات خود را از طریق شبکه Tor پنهان می‌کند. نکته قابل توجه، رفتار این بدافزار هنگام فعالیت کاربر است؛ به‌گونه‌ای که استخراج رمزارز هنگام استفاده کاربر از صفحه‌کلید متوقف می‌شود تا احتمال شناسایی افزایش مصرف منابع سیستم کاهش یابد.
اهمیت این رویداد: مهاجمان دیگر صرفاً به نام نرم‌افزارهای ناشناخته متکی نیستند؛ بلکه از اعتبار برندهای مطرح و افزایش تقاضا برای ابزارهای هوش مصنوعی سوءاستفاده می‌کنند. وجود یک پروژه در گیت‌هاب یا نمایش آن در نتایج جست‌وجو به‌معنای معتبر بودن نرم‌افزار نیست. کاربران باید برنامه‌های هوش مصنوعی را از وب‌سایت رسمی توسعه‌دهندگان دریافت کنند و پیش از نصب، نام ناشر، امضای دیجیتال، آدرس مخزن و اعتبار فایل اجرایی را بررسی کنند. مصرف غیرعادی پردازنده، کاهش عملکرد سیستم و فعالیت مشکوک شبکه نیز می‌تواند از نشانه‌های آلودگی به بدافزارهای استخراج رمزارز باشد.
توقیف دامنه یک شرکت میزبانی ضدگلوله توسط اف‌بی‌آی
در آخرین خبر، اف‌بی‌آی دامنه Virtualine، یک ارائه‌دهنده خدمات میزبانی ضدگلوله روسی‌زبان، را توقیف کرده است. شرکت‌های میزبانی ضدگلوله معمولاً با ادعای مقاومت در برابر شکایت‌های مربوط به سوءاستفاده و درخواست‌های حذف محتوا فعالیت می‌کنند و برخی از آن‌ها به پناهگاهی برای زیرساخت‌های مجرمان سایبری تبدیل می‌شوند.
اسناد دادگاهی نشان می‌دهد زیرساخت Virtualine برای میزبانی فعالیت‌هایی مانند فیشینگ، ارسال هرزنامه و کلاهبرداری با کارت‌های اعتباری مورد استفاده قرار گرفته است. همچنین بر اساس گزارش TRM Labs، گروه‌های باج‌افزاری و فعالان حوزه سرقت اطلاعات از جمله گروه مرتبط با بدافزار Steele برای استفاده از خدمات این مجموعه هزینه پرداخت می‌کردند.
البته توقیف دامنه به‌معنای از کار افتادن تمام سرورها و زیرساخت‌های این ارائه‌دهنده نیست؛ بلکه دسترسی به یکی از مسیرهای اصلی ارتباطی و شناسایی خدمات آن را مختل می‌کند. با این حال، چنین اقدامی می‌تواند فعالیت مشتریان مجرمانه این زیرساخت را دشوارتر کند.
اهمیت این رویداد: مقابله با جرایم سایبری تنها به شناسایی و دستگیری عاملان حملات محدود نمی‌شود. زیرساخت‌هایی که امکان میزبانی، مدیریت و پشتیبانی از فعالیت‌های مجرمانه را فراهم می‌کنند نیز بخشی از زنجیره تهدید هستند. هدف قرار دادن این زیرساخت‌ها می‌تواند هزینه فعالیت گروه‌های مجرم را افزایش دهد و مسیرهای ارتباطی آن‌ها را مختل کند.
منابع خبر
۱. WordPress News – انتشار نسخه امنیتی 7.1.4:
https://wordpress.org/news/2026/10/wordpress-7-1-4/
۲. Wordfence – بررسی تلاش‌های سوءاستفاده از آسیب‌پذیری وردپرس:
https://www.wordfence.com/
۳. Drupal Security Advisory – آسیب‌پذیری Commerce Core:
https://www.drupal.org/security
۴. Check Point Research – تحلیل کمپین Yoba:
https://research.checkpoint.com/2026/tricks-from-the-past-deployed-via-signed-chatgpt-and-claude-binaries/
۵. TRM Labs – بررسی توقیف دامنه Virtualine:
https://www.trmlabs.com/resources/blog/fbi-seizes-virtualine-domain-after-provider-led-bulletproof-hosting-sector-in-illicit-inflows
۶. U.S. Department of Justice – اطلاعیه توقیف دامنه:
https://www.justice.gov/usao-edva/pr/bulletproof-website-domain-seized-international-law-enforcement-operation
۷. The Hacker News – گزارش بدافزارهای جعلی ChatGPT و Claude:
https://thehackernews.com/2026/10/fake-chatgpt-and-claude-apps-abuse.html
۸. SecurityWeek – گزارش آسیب‌پذیری دروپال:
https://www.securityweek.com/drupal-commerce-core-vulnerability-exploited-against-online-stores/