รายงานจากบริษัทรักษาความปลอดภัยSucuriได้เปิดเผยถึงมัลแวร์ WordPress สายพันธุ์หนึ่งที่รู้จักกันในชื่อ SC นี่ไม่ใช่โทรจันธรรมดา: มันถูกออกแบบมาให้รอดพ้นจากการกำจัดแบบทั่วไปและกลับมาปรากฏอีกครั้งแม้หลังจากส่วนที่มองเห็นได้ของการติดเชื้อถูกลบออกไปแล้ว ภัยคุกคามนี้ใช้สำเนาที่ซ้ำซ้อนและบริการสาธารณะของ Ethereum เพื่อรักษาช่องทางการสื่อสารของมัน
กรณีนี้เป็นที่น่าสนใจเป็นพิเศษสำหรับผู้ที่จัดการเว็บไซต์ WordPress ตั้งแต่บล็อกส่วนตัวไปจนถึงร้านค้าออนไลน์ ในสเปนและประเทศอื่นๆ ในยุโรปโครงการจำนวนมากใช้ระบบจัดการเนื้อหา (CMS) นี้ดังนั้นการติดเชื้ออย่างต่อเนื่องอาจส่งผลกระทบต่อทั้งผู้ดูแลระบบและผู้เข้าชม รายละเอียดที่เผยแพร่โดย Sucuri และรายงานโดยสื่อเฉพาะทางชี้ให้เห็นถึงปัญหาที่ไม่สามารถแก้ไขได้ด้วยการลบไฟล์ที่น่าสงสัยเพียงไฟล์เดียว
มัลแวร์ SC คืออะไร และทำไมจึงกำจัดได้ยาก?
SC ทำงานเหมือน ระบบ ซ่อมแซมตัวเองได้ มัลแวร์ของมันสามารถปรากฏในปลั๊กอิน ธีม ฐานข้อมูล และแม้แต่เซิร์ฟเวอร์ที่ใช้งานร่วมกับ WordPress ได้ Sucuri อ้างว่าตรวจพบมัลแวร์นี้ในอย่างน้อยแปดตำแหน่งพร้อมกัน ซึ่งเป็นการหักล้างแนวคิดเรื่องจุดอ่อนเพียงจุดเดียวที่สามารถระบุและกำจัดได้
ผลที่ตามมาในทางปฏิบัติเป็นเรื่องที่น่ากังวล: หากผู้ดูแลระบบลบสำเนาหนึ่งชุดและปล่อยให้สำเนาอีกชุดหนึ่งมีพื้นที่ทำงานเพียงพอ มัลแวร์ก็สามารถสร้างตัวเองขึ้นมาใหม่และกลับมาทำงานได้อีกครั้ง การแพร่กระจายแบบนี้อธิบายได้ว่าทำไมวิธีการแบบดั้งเดิมที่อาศัยการค้นหาไฟล์ที่เสียหายหรือการตัดการเชื่อมต่อส่วนกลางจึงมักไม่ได้ผล
นอกจากนี้ SC ไม่ได้แค่ซ่อนตัวเท่านั้น ความสามารถอย่างหนึ่งของมันคือ การปิดใช้งานเครื่องมือรักษาความปลอดภัยและยังคงเข้าถึงในระดับผู้ดูแลระบบภายใน WordPress ได้ ซึ่งทำให้การตรวจจับการเปลี่ยนแปลงทำได้ยากขึ้น และสามารถยืดระยะเวลาการควบคุมของผู้โจมตีได้ แม้ว่าทีมที่รับผิดชอบจะเชื่อว่าพวกเขาได้ทำความสะอาดเว็บไซต์แล้วก็ตาม
Ethereum ในฐานะโครงสร้างพื้นฐานคำสั่ง
ประเด็นที่น่าสนใจที่สุดของรายงานฉบับนี้คือการใช้เกตเวย์ RPC สาธารณะของ Ethereumสำหรับการควบคุมและสั่งการ SC ได้รวบรวมรายชื่อผู้ให้บริการ RPC ประมาณ 20 รายซึ่งเป็นบริการที่ถูกต้องตามกฎหมายที่อนุญาตให้แอปพลิเคชัน กระเป๋าเงิน และซอฟต์แวร์อื่นๆ โต้ตอบกับเครือข่ายบล็อกเชนได้
ตามคำอธิบาย ผู้โจมตีไม่ได้เจาะระบบ Ethereum หรือบุกรุกโปรโตคอลของมัน แต่พวกเขาใช้ประโยชน์จากโครงสร้างพื้นฐานที่เปิดเผยต่อสาธารณะเพื่อส่งคำสั่งให้มัลแวร์ หากเกตเวย์ใดเกตเวย์หนึ่งล่มหรือหยุดทำงาน SC ก็สามารถลองใช้เกตเวย์อื่น ๆ ในรายการได้
ความซ้ำซ้อนนี้ช่วยลดผลกระทบของการบล็อกเพียงครั้งเดียว การป้องกันไม่ควรพึ่งพาการบล็อกที่อยู่เฉพาะเจาะจงเพียงอย่างเดียว เพราะโปรแกรมมีเส้นทางสำรองหลายเส้นทางการผสมผสานระหว่างสำเนาภายในและการเชื่อมต่อภายนอกทำให้มัลแวร์ชนิดนี้เป็นภัยคุกคามที่คงอยู่ยาวนานเป็นพิเศษ
การขโมยเซสชั่น การฉีดข้อมูล และความเสี่ยงด้านการชำระเงิน
อีกหนึ่งความสามารถที่ถูกเน้นย้ำคือ การรวบรวมโทเค็นเซสชันของผู้ดูแลระบบด้วยโทเค็นเหล่านี้ ผู้โจมตีสามารถรักษาหรือได้รับสิทธิ์การเข้าถึงระดับสูงโดยไม่จำกัดเฉพาะการแก้ไขเนื้อหาที่มองเห็นได้ ซึ่งเปิดประตูสู่การเปลี่ยนแปลงที่ลึกซึ้งและทำให้ยากต่อการกู้คืนการควบคุมบัญชีที่ถูกบุกรุก
SC ยังสามารถแทรกโค้ด JavaScriptเข้าไปในส่วนที่ผู้ใช้เข้าถึงได้ของเว็บไซต์ ในร้านค้าออนไลน์ โค้ดนี้อาจทำงานระหว่างขั้นตอนการชำระเงินและใช้เพื่อดักจับข้อมูลบัตรหรือข้อมูลเกตเวย์การชำระเงิน ข้อมูลที่มีอยู่ไม่ได้ระบุว่ามีเว็บไซต์หรือธุรกรรมจำนวนเท่าใดที่ได้รับผลกระทบ
ก่อนที่จะลงมือโจมตี มัลแวร์จะรวบรวมข้อมูลทางเทคนิคผ่านการทำลายนิ้วมือ : URL และชื่อโฮสต์ เวอร์ชัน WordPress เวอร์ชันปลั๊กอินที่ติดตั้ง และข้อมูลอื่นๆ ที่ช่วยระบุการกำหนดค่าของเป้าหมาย ยิ่งผู้โจมตีรู้เกี่ยวกับสภาพแวดล้อมมากเท่าไหร่ ก็ยิ่งง่ายต่อการวางแผนการโจมตีในครั้งต่อไปมากขึ้นเท่านั้น
แล้วเรื่องนี้จะส่งผลกระทบต่อเว็บไซต์ในสเปนและยุโรปอย่างไร?
แม้ว่ารายงานจะไม่ได้ระบุตัวเลขเฉพาะประเทศ แต่การติดตั้ง WordPress ในสเปนหรือยุโรปก็อาจตกเป็นเป้าหมายได้ หากใช้ปลั๊กอินที่ล้าสมัยหรือมีสิทธิ์การเข้าถึงที่ไม่รัดกุม ลักษณะการโจมตี ข้ามพรมแดนหมายความว่าที่ตั้งทางภูมิศาสตร์เพียงอย่างเดียวไม่ใช่สิ่งกีดขวาง
ผู้ดูแลเว็บไซต์ควรตรวจสอบไฟล์สำรองบันทึก และไฟล์ที่แก้ไข แต่ควรตระหนักว่าการทำความสะอาดเพียงบางส่วนอาจไม่เพียงพอ นอกจากนี้ยังควรตรวจสอบเซสชันที่ใช้งานอยู่ ผู้ดูแลระบบ และโค้ดที่ผิดปกติในเทมเพลตหรือส่วนขยายด้วย
ในธุรกิจอีคอมเมิร์ซ ความเสี่ยงด้านการชำระเงินยิ่งเพิ่มแรงกดดันมากขึ้น หากมัลแวร์ยังคงเข้าถึงได้และสามารถแทรกสคริปต์ได้ความไว้วางใจของผู้ใช้ก็จะลดลง ไม่ใช่แค่เรื่องการกู้คืนเว็บไซต์เท่านั้น แต่ยังเกี่ยวกับการป้องกันไม่ให้ข้อมูลลูกค้าตกไปอยู่ในมือผู้ไม่หวังดีด้วย
คำเตือนของ Sucuri ทำให้เห็นชัดเจนว่า SC ไม่ใช่ปัญหาที่แก้ไขได้ด้วยการล้างข้อมูลเพียงครั้งเดียว ความสามารถในการแพร่กระจายไปยังส่วนประกอบต่างๆการใช้เกตเวย์ Ethereum RPC และความสามารถในการขโมยเซสชันหรือแทรกโค้ด ทำให้มันเป็นภัยคุกคามที่ยากต่อการกำจัด สำหรับผู้ดูแลระบบ สิ่งสำคัญคือการตรวจสอบสภาพแวดล้อม WordPress ทั้งหมดอย่างละเอียด อัปเดตให้เป็นปัจจุบันอยู่เสมอ และทำความเข้าใจว่าการติดเชื้อประเภทนี้ต้องการการตอบสนองที่ครอบคลุมมากกว่าการลบไฟล์เพียงไฟล์เดียว
