Скрытые бинарники Systemd вскрывают руткит, который каждые 5 минут вшивает мобильные редиректы в WordPress
Анализ вскрывает руткит мобильного редиректа, который ослепляет стандартные плагины безопасности WordPress за счёт закрепления на уровне ОС и кеша памяти.
Схема эксплуатирует wp-config.php, инжектя Base64-пейлоад через eval(base64_decode(...)).
Скрипт парсит строку User-Agent для запуска цикла клоакинга: он редиректит на спам-сети только мобильный трафик, отдавая чистые страницы десктопу.
Для сохранения невидимости пейлоад дропает запросы к API, CLI и от известных администраторов.
Чистка на уровне файлов не работает, так как сборка опирается на вредоносный сервис systemd под названием defunct.service.
Маскируясь под легитимную шину D-Bus, сервис дёргает скрытый бинарник ELF по пути /usr/bin/defunct.
В логах процессов этот экзешник прикидывается фейковым потоком ядра [raid5wq] и автоматически вшивает фейковый скрипт Akamai (ak.akam60800.net) обратно в конфиги каждые 5 минут.
Второй вектор закрепления перехватывает кеш сервера OpenLiteSpeed.
При запуске руткит динамически форсит инжект скрипта, заставляя сервер кешировать полностью отрендеренную заражённую страницу внутри /usr/local/lsws/cachedata/__.
Даже после того как админы удаляют битые PHP-файлы и убивают бинарник руткита, OpenLiteSpeed спокойно отдаёт отравленную страницу прямо из своей внутренней памяти.
Полный снос заражения требует сброса этой директории кеша, снятия флагов immutable со скрытых авторизованных SSH-ключей и удаления автозагружаемых файлов 01-mu-__.php.