安全厂商 LevelBlue 披露了一个名为 TIKTOUK 的工具包，它把暴露的 WordPress 配置备份、加密的 SMTP 插件设置与前端 JavaScript 中的密钥串成一条流水线，批量回收明文凭据。研究人员查获的一个泄露面板中存放着约 3.7 万个域名下的 5 万条服务器端凭据，其中包含数百个经验证仍然有效的 AWS 密钥。
事件概述
研究人员通过源码审查、逆向分析与受控测试确认了工具包的组成。TIKTOUK 由两个 Python 组件和一个 Go 语言爬虫构成，每个组件都从中央 HTTP 服务领取任务，并把发现结果或状态回传。中央服务负责任务分发与结果归集，测试中未观察到组件之间自动交接。
发现的时机值得注意：该工具包在被研究者首次观测时，已经在规模化运行。
技术细节
探测组件先拉取目标列表并识别 WordPress 站点，随后发送 REST 批量请求，把畸形 URL 与删除、段落渲染等操作组合在一起。当 JSON 请求收到拒绝响应时，它会改用 multipart 编码重试并获得成功，这种“请求编码切换”为防守方提供了较明显的可检测序列。
采集组件负责内容收割：抓取暴露的 wp-config.php.bak 等配置备份，提取数据库凭据与安全密钥；同时请求环境配置、仓库配置、数据库备份与调试日志，寻找通过普通 Web 请求即可访问的凭据。它使用嵌套批量请求，先取出 options 表名，再用返回的表名做后续查询，把十六进制响应解码为文本，整理出数据库设置、邮箱凭据、AWS 密钥对与各类 API key 模式。
对于加密存储的插件配置，该工具包支持 WP Mail SMTP、Easy WP SMTP 与 FluentSMTP。研究者验证它能还原出明文凭据——这并非破解加密，而是因为它拿到了解密所需的密钥材料。受控测试还显示，它能用 AWS secret 推导出 Amazon SES 的邮箱密码，把云密钥转化为可直接使用的邮件服务凭据。
JavaScript 爬虫则抓取页面及其引用的脚本，匹配 SendGrid、Anthropic、Bedrock 与 AWS 等特征串后回传。研究者把请求结构关联到 CVE-2026-60137 与 CVE-2026-63030，但未演示成功利用；批量路由公告指出受影响的是 WordPress 6.9.5 之前的 6.9.x 版本与 7.0.2 之前的 7.0.x 版本。此外，遥测确认了载荷回连与控制端通信，调查还发现一个具备远程命令执行能力的关联 Go 僵尸网络。
影响评估
真实风险往往超出最初被攻陷的那个网站。泄露面板中的 AWS 密钥具备滥用邮件投递、计算资源与 AI 服务的潜力，而多站共享同一套云凭据的常见做法会把单点泄露放大为跨站风险。研究者同时提醒，实验结果证明的是组件行为，不等于已确认的线上入侵，相关凭据的获取路径仍需结合本地日志核实。
修复建议
- 立即清理 Web 根目录下可公开访问的备份文件与调试日志，尤其是 wp-config.php.bak 一类命名；
- 轮换 SMTP 插件中的邮箱凭据与所有出现在前端 JavaScript 里的 API key，并改用服务端代理调用；
- 关联分析异常批量请求、请求编码变化、敏感文件访问与随后的结果回传；
- 使用厂商公布的 SHA-256 样本哈希比对，单独一个路径或参数不足以判定恶意。