Rövid forenzikus összefoglaló – ZseboG.com

Minősítés: kritikus súlyosságú, bizonyított WordPress-kompromittálás
Bizonyosság: nagyon magas
Vizsgált források: 2017-es mentés, kompromittált webállományok, adatbázis-export és szervernaplók

A vizsgálat alapján a ZseboG.com-ot a WordPress 7.0 egyik kritikus sérülékenységén keresztül törték fel. A támadók a REST API batch-végpontjának hibáját és egy SQL-injekciós sebezhetőséget kapcsoltak össze, így bejelentkezés nélkül szerezhettek adminisztrátori jogosultságot és futtathattak kódot a szerveren. A hibát javító WordPress 7.0.2 2026. július 17-én jelent meg, de a webhely a kompromittált pillanatkép elkészítésekor még mindig 7.0 verzión működött.

Bizonyított eseménysor

• Július 18. 16:11:56 CEST: megjelent az első, sérülékenységre jellemző, sikeres HTTP-választ kapó támadás.
• Július 19. 08:42:50: létrejött az első idegen adminisztrátor. Az időpont másodpercre egybeesik egy sikeres exploitfolyamat utolsó kérésével.
• Július 19–24.: összesen 25 támadói adminfiók keletkezett, ID 11–35 között.
• Július 24.: a 103.134.92.114 IP-címről sikeresen beléptek a WordPress adminfelületére, majd egy manipulált Contact Form 7 bővítményt telepítettek.
• A csomag két idegen fájlt tartalmazott: zeroday.php és gckov2.php. Utóbbi működő webshell, vagyis böngészőből kezelhető hátsó ajtó és fájlkezelő volt.
• A webshellt legalább két közvetlen kliens használta. A naplók fájlböngészést és fájlműveleteket bizonyítanak a public_html könyvtárban.
• A webshellen keresztül feltöltötték a google82eab33928e40485.html fájlt, majd sikeresen igazolták a webhelyet a Google Search Console-ban.
• Július 25.: az eredeti, 418 bájtos WordPress index.php helyére egy 886 247 bájtos indonéz szerencsejátékos SEO-oldal került, amely többek között a zsebog.pages.dev címre terelte a forgalmat.
• Július 28.: az egyik támadói admin közzétett egy jogosulatlan angol nyelvű bejegyzést. Emellett hét támadói automatikus vázlat is keletkezett.
• Július 30.: egy másik hitelesített adminmunkamenetből telepítették a WP File Manager 8.0.4 bővítményt, majd további bővítmény- és sablonmódosításokat próbáltak végrehajtani.
• Augusztus 2. kora délután: a tulajdonos észlelte a kompromittálást, majd jelszavas védelemmel izolálta a public_html könyvtárat.

Fő technikai leletek

A public_html/error_log közvetlenül rögzítette az SQL-injekciót és a WordPress REST batch hívási láncát. Az adatbázisban 52, az exploit által létrehozott request és customize_changeset rekord maradt vissza.

A naplóelemzés során 662 támadási mintát hordozó batch-kérést azonosítottunk, amelyek közül 516 HTTP 207 választ kapott. A forgalom több IP-címről és több hullámban érkezett, ezért az incidens inkább automatizált, opportunista internetes támadásnak tűnik, mint személyre szabott akciónak.

A hivatalos checksum-ellenőrzések eredménye:

• a WordPress mag wp-content könyvtáron kívüli 3510 fájlja egyezett a hivatalos verzióval;
• az egyetlen eltérés a lecserélt gyökér-index.php;
• a Contact Form 7 mind a 75 hivatalos fájlja eredeti volt, csak a két idegen hátsóajtó-fájl került melléjük;
• a WP File Manager mind a 914 fájlja hivatalos volt, de a telepítése jogosulatlan;
• az egyedi aktív sablon kódja lényegében változatlan maradt;
• a feltöltési könyvtárakban nem találtunk új vagy módosított PHP-fájlt.

Hatás és korlátok

A támadók bizonyítottan teljes WordPress-adminisztrátori hozzáféréssel és működő webshell-lel rendelkeztek. Így módosíthatták a fájlokat, az adatbázist, a tartalmakat, a bővítményeket és a keresőmotoros beállításokat.

A naplókból nem bizonyítható, hogy teljes adatbázist vagy személyes adatokat töltöttek le, mert a webshell kéréseinek törzse és válaszainak tartalma nem áll rendelkezésre. Az azonban bizonyított, hogy technikailag lehetőségük volt az adatok elérésére.

Végkövetkeztetés

A kompromittálás nem korlátozódott egyetlen módosított kezdőlapra. A 25 idegen adminisztrátor, a webshell, az adatbázis-artefaktumok és a Search Console-hozzáférés miatt a telepítés teljes bizalmi állapota elveszett.

A biztonságos megoldás nem a helyben történő fájltörlés, hanem:

1. új dokumentumgyökér létrehozása;
2. friss, hivatalos WordPress és bővítménycsomagok telepítése;
3. kizárólag ellenőrzött tartalmak és média átemelése;
4. a támadói adminok és adatbázis-artefaktumok eltávolítása;
5. a WordPress-munkamenetek érvénytelenítése;
6. a tárhely-, WordPress-, FTP-, e-mail- és Search Console-hozzáférések felülvizsgálata;
7. a teljes tárhelyfiók, cronfeladatok és kapcsolódó webhelyek ellenőrzése.

Összesített megállapítás: a ZseboG.com-ot nagyon nagy bizonyossággal a javítatlan WordPress 7.0 maghibán keresztül kompromittálták, majd adminisztrátori fiókokkal, webshell-lel és keresőforgalom-eltérítéssel tartósan kihasználták.