WordPress Backdoor มาอีกแล้ว! เว็บไซต์กว่า 1000 แห่งถูกเจาะระบบ

รายละเอียดของการโจมตี WordPress ครั้งนี้

1. การแฝงตัวของ JavaScript Backdoor

แฮ็กเกอร์ใช้ JavaScript ที่ซ่อนอยู่ในเว็บไซต์ เพื่อสร้าง ช่องโหว่แบบ Backdoor ทำให้พวกเขาสามารถกลับเข้ามาควบคุมเว็บไซต์ได้ตลอดเวลา โดยโค้ดอันตรายนี้ถูกโหลดจาก cdn.csyndication[.]com ซึ่งพบว่ามีการอ้างอิงถึงโดเมนนี้ในกว่า 908 เว็บไซต์ ที่ถูกโจมตี

2. การใช้ Backdoor หลายประเภท เพื่อป้องกันการถูกลบ

สิ่งที่ทำให้การโจมตีครั้งนี้อันตรายเป็นพิเศษคือ การติดตั้ง Backdoor หลายตัวพร้อมกัน หากเว็บไซต์พยายามลบ Backdoor ตัวหนึ่งออก แฮ็กเกอร์ยังสามารถใช้ช่องทางอื่นกลับมาโจมตีได้

Backdoor ที่พบในระบบประกอบด้วย

• Backdoor 1 – ติดตั้งปลั๊กอินปลอมชื่อ “Ultra SEO Processor” เพื่อใช้เป็นช่องทางรันคำสั่งของแฮ็กเกอร์
• Backdoor 2 – ฉีดโค้ดอันตรายลงใน wp-config.php ซึ่งเป็นไฟล์ตั้งค่าหลักของ WordPress
• Backdoor 3 – เพิ่ม SSH Key ของแฮ็กเกอร์ ลงในเซิร์ฟเวอร์ ทำให้พวกเขาสามารถเข้าถึงเว็บไซต์ผ่าน SSH ได้ตลอดเวลา
• Backdoor 4 – รันคำสั่งจากระยะไกลและดึง Payload อื่นจาก gsocket[.]io ซึ่งอาจเปิด Reverse Shell เพื่อให้แฮ็กเกอร์ควบคุมเซิร์ฟเวอร์ได้

3. ผลกระทบของการโจมตีครั้งนี้

การมี Backdoor หลายตัวในเว็บไซต์หมายความว่า แม้เจ้าของเว็บไซต์จะลบโค้ดอันตรายออกไปแล้ว แฮ็กเกอร์ก็ยังสามารถกลับเข้ามาได้อีก ซึ่งอาจนำไปสู่

• การขโมยข้อมูล ชื่อผู้ใช้, รหัสผ่าน, ข้อมูลลูกค้า และข้อมูลธุรกรรม
• การเปลี่ยนแปลงเนื้อหาเว็บไซต์ เช่น ฝังโค้ดมัลแวร์ หรือ Redirect ผู้ใช้งานไปยังเว็บไซต์อันตราย
• การใช้เซิร์ฟเวอร์ของเว็บไซต์ที่ถูกโจมตีเป็น เครื่องมือแพร่กระจายมัลแวร์ไปยังเว็บไซต์อื่น
• ผลกระทบต่อ อันดับ SEO ของเว็บไซต์ เพราะ Google อาจขึ้นเตือนว่าเป็นเว็บไซต์อันตราย