แฮกเกอร์ใช้เว็บไซต์ Wordpress กว่า 2,000 เว็บ
แฮกเกอร์ใช้เว็บไซต์ Wordpress กว่า 2,000 เว็บในแคมเปญปล้นคริปโต และปล่อยแรนซัมแวร์
จากรายงานโดยเว็บไซต์ Biggo Finance ได้กล่าวถึงการตรวจพบแคมเปญที่มีการใช้เว็บไซต์ที่ถูกสร้างขึ้นบน Wordpress ซึ่งถูกแฮกมาได้จำนวนกว่า 2,000 เว็บไซต์ มาใช้ในการปล่อยมัลแวร์หลากชนิด ตั้งแต่มัลแวร์สำหรับเรียกค่าไถ่ (Ransomware), มัลแวร์ขโมยข้อมูล (Infostealer), และมัลแวร์ชนิดอื่น ๆ โดยทางทีมวิจัยจาก Check Point บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ได้เรียกแคมเปญนี้ว่า StopAndProtect ตามชื่อแรนซัมแวร์ตัวหนึ่งที่มีการใช้งานระบบยืนยันตัวตน (Authentication) แบบ Captcha ปลอมบนเว็บไซต์ที่ถูกแฮกมา นำไปสู่การรันสคริปท์ PowerShell และฝังมัลแวร์ลงเครื่อง ซึ่งเป็นวิธีการในรูปแบบ ClickFix โดยมัลแวร์ตัวดังกล่าวนี้ถูกตรวจพบในช่วงเดือนพฤษภาคมที่ผ่านมา โดยทางทีมวิจัยกล่าวว่า แคมเปญนี้ไม่ได้เป็นการอิงบนมัลแวร์ตัวใดตัวหนึ่ง แต่เป็นชุดเครื่องมือ (Toolkit) ของแฮกเกอร์ทั้งชุดทำงานร่วมกัน
ซึ่งหลังจากที่เหยื่อป้อนสคริปท์แล้วรันตามคำสั่ง PowerShell บนหน้าจอเป็นที่สำเร็จแล้ว ก็จะนำไปสู่การดาวน์โหลดมัลแวร์นกต่อ (Loader) ที่ถูกเขียนขึ้นบนภาษา .NET โดยมัลแวร์ตัวนี้จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อดาวน์โหลด Loader ตัวที่สองลงมา ซึ่งตัวนี้จะทำหน้าที่ในการตรวจสอบว่ากำลังทำงานอยู่บนสภาวะแวดล้อมจำลอง (Sandbox) หรือไม่ โดยถ้าทดสอบแล้วพบว่าไม่ได้มีการทำงานอยู่บนสภาพแวดล้อมดังกล่าว ก็จะนำไปสู่การดาวน์โหลดไฟล์มัลแวร์ (Payload) ตัวจริงลงมาติดตั้ง โดย Payload นั้นจะเป็นชุดเครื่องมือแรนซัมแวร์ต่อไปนี้
SilentEncryptor ใช้ในการเข้ารหัสไฟล์บนเครื่องของเหยื่อ
NetworkShareScanner ใช้ในการแพร่กระจายมัลแวร์ไปยังอุปกรณ์ (Device) ต่าง ๆ ที่เชื่อมต่อกับเครื่องของเหยื่ออยู่
VBS Spreader ใช้ในการแพร่กระจายมัลแวร์ไปยังเครือข่าย (Network) ที่เชื่อมต่อกับเครื่องของเหยื่ออยู่
LockScreen ใช้ในการล็อกหน้าจอและแสดงข้อความเรียกค่าไถ่ (Ransom Note)
SimpleChatProxy เป็นโปรแกรมแชทสำหรับให้เหยื่อติดต่อคุยกับแฮกเกอร์
SilentDataCollector ใช้ในการบันทึกรายชื่อไดร์ฟของเหยื่อที่ถูกเข้ารหัสแล้วส่งกลับไปยังเซิร์ฟเวอร์ C2
นอกจากนั้นยังพบว่ามีการใช้งานมัลแวร์ Infostealer รุ่นใหม่ที่ไม่ถูกระบุชื่อ ซึ่งมีการเพิ่มความสามารถในการดักจับการพิมพ์ (Keylogging) ถ้ามีการตรวจพบที่อยู่อีเมล (Email Address), ความสามารถในการเก็บข้อมูลจากแอปพลิเคชันแชท Whatsapp, และดักบันทึกหน้าจอ (Screenshot) ทุก ๆ 30 วินาที ซึ่งในแคมเปญนี้นั้นหลายครั้งอาจไม่ได้นำไปสู่การติดตั้งชุดเครื่องมือแรนซัมแวร์ข้างต้นเสมอไป หลายครั้งนั้นเป็นเพียงการใช้มัลแวร์ Infostealer ตัวนี้เพื่อขโมยข้อมูลจากเครื่องเหยื่อเฉย ๆ เพียงเท่านั้น
ในส่วนของเว็ บไซต์นั้น จากการตรวจสอบของทีมวิจัยพบว่าเว็บไซต์ที่ถูกแฮกได้ส่วนใหญ่นั้นเป็นเว็บไซต์ที่มีการใช้งาน Wordpress รุ่นที่ล้าสมัย รวมทั้งเว็บไซต์ที่มีการใช้งานปลั๊กอินที่มีช่องโหว่ความปลอดภัย ตัวอย่างเช่นบางเว็บไซต์ในกรณีนี้นั้นยังเป็นเว็บไซต์ที่ทำงานบน Wordpress เวอร์ชันปี ค.ศ. 2021 (พ.ศ. 2564) ซึ่งทำให่ตัวเว็บไซต์นั้นมีช่องโหว่ความปลอดภัยกว่า 70 ช่องโหว่ โดยเว็บไซต์ที่ถูกแฮกได้เหล่านี้จะทำหน้าที่อยู่ 3 อย่าง นั่นคือ ใช้ในการฝาก (Host) มัลแวร์, ทำหน้าที่เป็นเซิร์ฟเวอร์ C2 เพื่อส่งคำสั่งไปให้มัลแวร์, และใช้เป็นที่ฝากบันทึกการทำงานของมัลแวร์ (Log) ที่ถูกลักลอบส่งออกมาจากเครื่องของเหยื่อ (Exfiltration)
โดยการควบคุมเว็บไซต์นั้นแฮกเกอร์จะติดตั้งปลั๊กอินด้วยการอัปโหลดไฟล์บีบอัดสกุล .Zip ที่ภายในมีปลั๊กอินแบบ PHP ชื่อ uploader-installer.php โดยปลั๊กอินตัวนี้จะสร้างไฟล์ปลั๊กอินไว้ในโฟลเดอร์ wp-content/mu-plugins ของเว็บไซต์ ซึ่งจะเปิดทางให้ใครก็ตามที่มีรหัสผ่านเข้าใช้งานอย่างถูกต้อง สามารถอัปโหลดไฟล์ต่าง ๆ รวมทั้งไฟล์ PHP ไปยังพาร์ต (Path) บนเว็บไซต์ได้อย่างตามใจชอบได้ ซึ่งเมื่อเว็บไซต์ถูกดัดแปลงตามที่แฮกเกอร์ตั้งใจไว้แล้ว ตัวปลั๊กอินก็จะถูกหยุดการทำงานและลบออกเพื่อป้องกันการถูกตรวจจับ ซึ่งด้วยระบบการอัปโหลดปลั๊กอินเพื่อดัดแปลงหน้าเว็บไซต์นี่เอง ทำให้แฮกเกอร์สามารถใช้เพื่ออัปโหลดปลั๊กอินสำหรับทำหน้า ClickFix หลอกเหยื่อที่ใช้งานระบบปฏิบัติการ macOS เพื่อปล่อยมัลแวร์ขโมยข้อมูลชื่อว่า Atomic Stealer ใส่เครื่องของเหยื่อ ผ่านทางการอัปโหลดปลั๊กอินชื่อว่า activator.php โดยปลั๊กอินตัวนี้จะทำการลบตัวเองอย่างอัตโนมัติหลังจากถูกใช้งานเสร็จ
#ติดเทรนด์ #Lemon8ฮาวทู #lemon8ไดอารี่ #wordpress #freedomhack
จากประสบการณ์ส่วนตัว ผมขอแชร์คำแนะนำสำหรับผู้ดูแลเว็บไซต์ Wordpress เพื่อป้องกันการถูกแฮกและใช้เป็นฐานปล่อยมัลแวร์แบบแคมเปญ StopAndProtect ที่รายงานนี้กล่าวถึง 1. อัปเดต Wordpress และปลั๊กอินอย่างสม่ำเสมอ เนื่องจากช่องโหว่ส่วนมากเกิดจากการใช้เวอร์ชันเก่าที่ล้าสมัย ซึ่งแฮกเกอร์มักเจาะผ่านช่องโหว่เหล่านี้ การติดตั้งรายการอัปเดตทันทีที่มีการปล่อยออกมาจะช่วยลดความเสี่ยงได้อย่างมาก 2. ใช้งานปลั๊กอินและธีมจากแหล่งที่น่าเชื่อถือเท่านั้น ปลั๊กอินที่ไม่มีการพัฒนาและตรวจสอบความปลอดภัยอาจกลายเป็นช่องทางให้แฮกเกอร์เข้าถึงระบบได้แบบไม่รู้ตัว 3. เพิ่มระบบยืนยันตัวตนแบบสองชั้น (2FA) ตั้งแต่ส่วนผู้ดูแลเว็บไซต์และผู้ใช้ทั่วไปเพื่อลดความเสี่ยงจากการถูกเดารหัสผ่านหรือ phishing 4. ตรวจตราการทำงานของเว็บไซต์และติดตั้งระบบตรวจจับมัลแวร์ เช่น สแกนหาไฟล์ปลั๊กอินที่ถูกแอบแฝง และระบบแจ้งเตือนเมื่อพบความผิดปกติที่ไม่พึงประสงค์ 5. สำรองข้อมูลเว็บไซต์เป็นประจำและเก็บในที่ปลอดภัย เพื่อกรณีเกิดเหตุการถูกล็อกหน้าจอหรือไฟล์ถูกเข้ารหัส จะสามารถกู้คืนข้อมูลได้โดยไม่ต้องจ่ายค่าไถ่ นอกจากนี้ แคมเปญนี้ยังใช้เทคนิค CAPTCHA ปลอมซึ่งลักษณะเฉพาะคือจะหลอกให้เหยื่อเชื่อว่ากำลังทำการยืนยันตัวตน ซึ่งจริง ๆ แล้วเป็นการรันสคริปท์ PowerShell และฝังมัลแวร์ลงบนเครื่อง เพื่อป้องกันตัวเองไม่ได้ถูกตรวจจับ ถ้าผู้ใช้งานพบ CAPTCHA ที่ดูผิดปกติ หรือเว็บไซต์โหลดสิ่งที่ไม่คาดคิด ควรระมัดระวังและไม่ทำตามขั้นตอนนั้น สุดท้าย การรักษาความปลอดภัยไซเบอร์ต้องเริ่มจากความรู้และความตระหนักของผู้ใช้งาน การศึกษาข่าวสารและเทคนิคใหม่ ๆ เกี่ยวกับมัลแวร์และช่องโหว่ จะช่วยให้เราสามารถรับมือกับภัยคุกคามเหล่านี้ได้อย่างมีประสิทธิภาพมากขึ้นรวมถึงลดความเสียหายที่อาจเกิดขึ้นจริงได้มากทีเดียว
