一场大规模钓鱼攻击正针对WooCommerce用户，通过伪造安全警报诱使他们下载所谓的"关键补丁"，实则为植入WordPress后门的恶意程序。
恶意插件植入
根据Patchstack研究人员发现，上当受骗的用户在下载更新时，实际上安装的是恶意插件。该插件会：
- 在网站上创建隐藏管理员账户
- 下载Web Shell攻击载荷
- 维持持久性访问权限
此次攻击似乎是2023年末类似攻击的延续，当时攻击者同样以虚构漏洞的虚假补丁针对WordPress用户。研究人员指出，两次攻击使用了相同的Web Shell组合、完全一致的载荷隐藏方法以及相似的邮件内容。
伪造安全警报
攻击者伪装成WooCommerce官方，使用"help@security-woocommerce[.]com"地址向网站管理员发送钓鱼邮件。邮件声称收件人网站正面临"未授权管理访问"漏洞攻击，并附带"立即下载补丁"按钮和详细安装指南。
邮件内容节选： "我们在2025年4月14日发现WooCommerce平台存在关键安全漏洞...4月21日的最新安全扫描确认该漏洞直接影响您的网站...强烈建议您立即采取措施保护商店和数据安全。"
针对WooCommerce用户的钓鱼邮件来源：Patchstack
同形异义字攻击
点击"下载补丁"按钮会跳转至高度仿冒WooCommerce的恶意网站"woocommėrce[.]com"。攻击者使用立陶宛字符"ė"(U+0117)替代字母"e"，实施同形异义字攻击，这种细微差别极易被忽视。
仿冒WooCommerce平台的恶意网站来源：Patchstack
感染后活动
受害者安装了虚假的安全修复程序（“authbypass-update-31297-id.zip”）后，该程序会创建一个随机命名的定时任务（cronjob），每分钟运行一次，试图创建一个新的管理员级别用户。
接下来，该插件会通过向 “woocommerce-services [.] com/wpapi” 发送 HTTP GET 请求来注册受感染的网站，并获取第二阶段经过混淆处理的有效载荷。进而在 “wp-content/uploads/” 目录下安装多个基于 PHP 的网页后门，包括 P.A.S.-Form、p0wny 和 WSO。
Patchstack 评论称，这些网页后门可让人完全控制网站，可能被用于广告注入、将用户重定向到恶意网站、让服务器加入分布式拒绝服务攻击（DDoS）僵尸网络、窃取支付卡信息，或者执行勒索软件来加密网站并向网站所有者敲诈勒索。
为了逃避检测，该插件会将自身从可见的插件列表中移除，并且还会隐藏它创建的恶意管理员账户。
Patchstack 建议网站所有者仔细检查那些名称为 8 个字符的随机名称的管理员账户、不寻常的定时任务、名为 “authbypass-update” 的文件夹，以及向 woocommerce-services [.] com、woocommerce-api [.] com 或 woocommerce-help [.] com 发出的出站请求。
不过，一旦这些威胁指标通过公开研究曝光，威胁行为者通常会更改所有这些指标，所以务必不要依赖于小范围的扫描。
