ช่องโหว่ Zero-day ที่ถูกเรียกว่า “StyleSmuggler” ซึ่งส่งผลกระทบต่อ Magento และ Adobe Commerce ทุกเวอร์ชัน กำลังถูกผู้ไม่หวังดีนำมาใช้ในการโจมตีเพื่อฝัง Backdoor เข้าสู่ระบบ
เหตุการณ์การเจาะระบบเพื่อโจมตีครั้งแรกถูกพบเมื่อวันที่ 4 กันยายนที่ผ่านมา โดยเป้าหมายที่ถูกโจมตีนั้นเป็นระบบที่ได้รับการติดตั้งอัปเดตด้านความปลอดภัยเวอร์ชันล่าสุดแล้ว
Sansec บริษัทผู้เชี่ยวชาญด้านความปลอดภัยบนระบบ E-commerce ระบุว่า ฝ่าย Support ระดับองค์กรของ Adobe ได้ออกมายืนยันเมื่อช่วงเช้าของวันนี้ว่า พวกเขากำลังดำเนินการแก้ไขช่องโหว่นี้อยู่ แต่ยังไม่มีการระบุไทม์ไลน์ที่แน่ชัดว่าจะปล่อยแพตช์แก้ไขออกมาเมื่อใด
ทั้งนี้ Magento เป็นแพลตฟอร์ม E-commerce แบบ Open-source ยอดนิยมของ Adobe ซึ่งปัจจุบันถูกติดตั้ง และใช้งานบนเว็บไซต์มากกว่า 160,000 แห่ง โดยในจำนวนนี้มีถึง 14,000 เว็บไซต์ที่ติดอันดับเว็บไซต์ยอดนิยม 1 ล้านอันดับแรก
การฝัง Backdoor บนระบบ Linux
การโจมตีที่ Sansec ตรวจพบในสถานการณ์จริงนั้น อาศัยการเจาะระบบ Template ของ Magento ผ่านการแทรกโค้ด PHP เพื่อสร้างอีเมลแจ้ง "การชำระเงินล้มเหลว" ปลอมขึ้นมา ซึ่งกระบวนการนี้จะไปทำให้เกิด Code execution บนระบบ
หากการโจมตีสำเร็จ จะมีการติดตั้ง Backdoor ขนาดเล็กที่พัฒนาด้วยภาษา Rust เพื่อทำงานเป็น Background process โดยจะซ่อนตัวในชื่อ [kworker/u:8:0] ส่วน Backdoor เวอร์ชันที่ใหม่กว่าจะซ่อนโปรเซสเป็น fc-cache และคัดลอกตัวเองไปยัง Path: ~/.cache/fontconfig/fc-cache
นักวิจัยของ Sansec ระบุเพิ่มเติมว่า ผู้โจมตียังได้เพิ่ม Cron job ที่ตั้งค่าให้ทำงานซ้ำทุก ๆ 30 นาที เพื่อฝังตัว และรักษาการเข้าถึงระบบอย่างต่อเนื่อง
แม้ว่า Sansec จะยังไม่พบความเคลื่อนไหวใด ๆ เพิ่มเติมตามมา แต่ตัวมัลแวร์นั้นมีความสามารถในการสื่อสารกับ C2 เซิร์ฟเวอร์ และสามารถรอรับคำสั่งได้
นักวิจัยตั้งข้อสังเกตว่า Backdoor ที่พบในเวอร์ชันแรก ๆ จะใช้ TLS/WebSockets ในการสื่อสารกับ C2 เซิร์ฟเวอร์ ในขณะที่ Backdoor เวอร์ชันใหม่จะซ่อน Traffic การเชื่อมต่อให้ดูเหมือน Network Time Protocol (NTP)
มัลแวร์จะส่งแพ็กเก็ต UDP ไปยังพอร์ต 123 และใช้ Hostname ที่คล้ายกับระบบโครงสร้างพื้นฐานสำหรับ Time-syncing ซึ่งช่วยซ่อน Traffic ที่เป็นอันตรายให้ดูเหมือนการใช้งาน NTP และช่วยให้สามารถผ่าน Firewall ไปได้
นอกจากนี้ ตัวมัลแวร์ยังค้นหา Public IP ของเซิร์ฟเวอร์โดยอาศัยบริการต่าง ๆ เช่น ipify, icanhazip, ident.me และ ipinfo.io อีกทั้งยังมีการตรวจสอบค่า TracerPid ของระบบ Linux เพื่อดูว่ากำลังถูกแกะรอย (Tracing) อยู่หรือไม่ หากพบว่ามีการแกะรอย ตัวมัลแวร์จะยังคงทำการติดตั้งตัวเองลงในระบบ แต่จะระงับการส่งสัญญาณกลับไปยังเซิร์ฟเวอร์ C2
Sansec ระบุว่า การพบอีเมลแจ้งเตือน "Payment Transaction Failed Reminder" ของ Magento ที่ถูกส่งออกมามากผิดปกติ อาจเป็นสัญญาณแสดงให้เห็นว่าระบบกำลังถูกโจมตี พร้อมทั้งแนะนำให้ผู้ดูแลระบบคอยเฝ้าระวังโปรเซสที่ใช้ชื่อ ‘kworker’ หรือ ‘fc-cache’ รวมถึงรายการ Cron และ Temporary files ที่ดูน่าสงสัย
หากสงสัยว่าระบบถูกโจมตีแล้ว ขอแนะนำให้ทำการเปลี่ยนรหัสผ่าน และ Rotate ข้อมูล Credentials ของระบบ Magento ใหม่ทั้งหมด
ทาง Adobe ยังไม่ได้ปล่อยแพตช์แก้ไขสำหรับช่องโหว่ StyleSmuggler ออกมา แต่กำหนดการอัปเดตแพตช์ด้านความปลอดภัยรอบถัดไปของบริษัทคือในวันที่ 8 กันยายน
จนกว่าจะมีการปล่อยแพตช์แก้ไขออกมา Sansec แนะนำให้ผู้ดูแลเว็บไซต์ปิดการใช้งาน GraphQL เพื่อเป็นการลดความเสี่ยงในเบื้องต้น
ทาง BleepingComputer ได้ติดต่อไปยัง Adobe เพื่อสอบถามว่าทางบริษัทมีแผนจะปล่อยแพตช์แก้ไขช่องโหว่ StyleSmuggler ในการอัปเดตวันที่ 8 กันยายนเลยหรือไม่ แต่ทาง Adobe ยังไม่มีการตอบกลับใด ๆ ในขณะนี้
ที่มา : bleepingcomputer
You must be logged in to post a comment.