การดาวน์โหลดปลั๊กอิน Rank Math PRO สำหรับ WordPress บางส่วนจากเว็บไซต์อย่างเป็นทางการของผู้พัฒนา พบว่ามี Malware แฝงอยู่ ซึ่งสามารถสร้าง Backdoor ที่ซ่อนอยู่บนเว็บไซต์ โดยเป็นผลจากการโจมตีแบบ Supply Chain Attack ที่เกิดขึ้นเมื่อสัปดาห์ที่ผ่านมา
ตามข้อมูลจากผู้พัฒนา ผู้ใช้จำนวนจำกัดที่ดาวน์โหลดปลั๊กอินเวอร์ชัน 3.0.123 ระหว่างวันที่ 15 ตุลาคม เวลา 20:02 UTC ถึงวันที่ 16 ตุลาคม เวลา 07:12 UTC ได้รับไฟล์ปลั๊กอินที่ถูกแก้ไขโดยผู้โจมตี ซึ่งอาจทำให้เว็บไซต์ถูกบุกรุกเมื่อเปิดใช้งานปลั๊กอินดังกล่าว
Rank Math แจ้งเตือนว่า “ไฟล์ปลั๊กอินที่ได้รับผลกระทบมี Malware ซึ่งอาจทำให้เว็บไซต์ของคุณถูกบุกรุกหากมีการเปิดใช้งานปลั๊กอิน”
บริษัทระบุเพิ่มเติมว่า “เราได้นำไฟล์ที่ได้รับผลกระทบออกทันที และเผยแพร่เวอร์ชันที่ปลอดภัย Rank Math PRO v3.0.124 แล้ว”
ผู้ใช้ที่ติดตั้ง และเปิดใช้งานปลั๊กอินเวอร์ชันที่ถูกฝัง Malware ภายในช่วงเวลา 11 ชั่วโมงดังกล่าว ควรถือว่าเว็บไซต์ของตนถูกบุกรุกแล้ว และดำเนินการตามขั้นตอนกำจัด Malware ที่ผู้พัฒนาระบุไว้ในประกาศด้านความปลอดภัย
Rank Math PRO เป็นปลั๊กอิน Search Engine Optimization (SEO) สำหรับ WordPress ที่ช่วยเพิ่มการมองเห็นเว็บไซต์ในผลการค้นหา โดยเป็นเวอร์ชันเสียเงินของ Rank Math SEO ซึ่งมีเวอร์ชันฟรีที่เปิดใช้งานอยู่บนเว็บไซต์มากกว่า 4 ล้านแห่ง
ข้อมูล Sensitive ที่อาจถูกเปิดเผย
ประกาศด้านความปลอดภัยจากผู้พัฒนายืนยันว่า มีเพียง Rank Math PRO เท่านั้นที่ถูกโจมตี ส่วน Rank Math SEO เวอร์ชันฟรีที่เผยแพร่ผ่าน WordPress.org ไม่ได้รับผลกระทบ
Rank Math ระบุว่า Malware สามารถสร้างช่องทางเข้าถึงระบบอย่างต่อเนื่อง ติดต่อสื่อสารกับ Domain "rank1cdn[.]com" และสร้าง Backdoor ที่ซ่อนอยู่ขึ้นมาใหม่เมื่อมีผู้เข้าชมเว็บไซต์ที่ติด Malware
ผู้พัฒนาเตือนว่า ผู้ใช้ที่ติดตั้ง Rank Math PRO เวอร์ชันที่ถูกแก้ไขโดยผู้โจมตี อาจทำให้ Database Credentials, API Keys และข้อมูลลับอื่น ๆ ที่ Web Server สามารถเข้าถึงได้ตกอยู่ในความเสี่ยง
ระหว่างการตรวจสอบการโจมตี BleepingComputer พบตัวอย่าง PHP Malware บน VirusTotal ชื่อ "cache-preloader-fff033 (1).php" ซึ่งดูเหมือนว่าจะเกี่ยวข้องกับเหตุการณ์ที่ Rank Math ถูกโจมตี
แม้ไฟล์ดังกล่าวจะไม่ได้ถูกกล่าวถึงในประกาศด้านความปลอดภัยของ Rank Math หรือ Wordfence แต่ BleepingComputer พบว่าไฟล์นี้มี Indicators of Compromise (IOC) ตรงกับข้อมูลที่ระบุไว้ในประกาศแจ้งเตือนของ Rank Math ได้แก่
- "xmmqhn" ซึ่งเป็น XOR obfuscation key ที่ใช้ปกปิดโค้ด
- "_np5pvf754c" ซึ่งเป็นรายการข้อมูลในฐานข้อมูล WordPress
- "#ms6v46" ซึ่งเป็นตัวระบุ Cron Job
- โค้ดสำหรับสร้างบัญชี Administrator โดยใช้ชื่อผู้ใช้ที่ขึ้นต้นด้วย "wpsupport_" และ Email Address ที่ใช้ Domain "@wp-mail[.]net"
Malware ดังกล่าวดูเหมือนจะทำหน้าที่เป็นสคริปต์สำหรับติดตั้ง Payload ในขั้นตอนแรก โดยสร้าง Backdoor ชื่อ "wp-includes/class-wp-cache-util.php" ซึ่งถูกกล่าวถึงในประกาศด้านความปลอดภัยของ Rank Math
สคริปต์ PHP นี้ยังมีความสามารถในการรันคำสั่ง แก้ไขฐานข้อมูล WordPress และขโมย Credentials ของ AWS, Cloudflare, Google Cloud และ Azure รวมถึง SSH Keys และข้อมูลสำคัญอื่น ๆ
แม้ IOC เหล่านี้จะบ่งชี้ว่า Malware ดังกล่าวมีความเกี่ยวข้องกับ Threat Actor รายเดียวกับที่อยู่เบื้องหลังการโจมตี Rank Math แต่ BleepingComputer ยังไม่สามารถยืนยันได้ว่าไฟล์ Malware นี้ถูกเผยแพร่ผ่านปลั๊กอินที่ถูกโจมตีหรือไม่
คำแนะนำในการกำจัด Malware และกู้คืนเว็บไซต์
ผู้ดูแลเว็บไซต์ที่สงสัยว่าเว็บไซต์ของตนถูกบุกรุก ควรกู้คืนไฟล์เว็บไซต์ และฐานข้อมูลจาก Backup ที่ปลอดภัย ตรวจสอบระบบด้วยเครื่องมือด้านความปลอดภัย และเปลี่ยนรหัสผ่าน Keys และ Salts ทั้งหมด
สำหรับเว็บไซต์ที่ไม่มี Backup ที่ปลอดภัยสำหรับการกู้คืน Rank Math แนะนำให้ดำเนินการกำจัด Malware ด้วยตนเอง พร้อมระบุว่าการปิดใช้งาน หรืออัปเดตปลั๊กอินภายหลังจากเว็บไซต์ถูกบุกรุกแล้ว ไม่สามารถกำจัดภัยคุกคามที่ฝังอยู่ในระบบได้
กระบวนการกำจัด Malware จำเป็นต้องลบโฟลเดอร์ปลั๊กอินทั้งหมด รวมถึงรายการข้อมูลที่เป็นอันตรายในฐานข้อมูล ก่อนตรวจสอบ Backdoor อื่น ๆ ที่อาจถูกสร้างเพิ่มเติม บัญชี Administrator ที่ไม่ได้รับอนุญาต ไฟล์ที่ถูกแก้ไข Scheduled Tasks และการเปลี่ยนแปลงที่อาจเกิดขึ้นภายนอกระบบ WordPress
นอกจากนี้ ยังแนะนำให้บล็อกการเชื่อมต่อขาออกทั้งหมดไปยัง Domain "rank1cdn[.]com" ของผู้โจมตี
สำหรับผู้ใช้ที่ติดตั้งปลั๊กอินแล้วแต่ไม่เคยเปิดใช้งาน ควรลบปลั๊กอินดังกล่าว ดาวน์โหลดเวอร์ชันที่ปลอดภัย 3.0.124 มาติดตั้งใหม่ จากนั้นสแกนเว็บไซต์เพื่อตรวจสอบความปลอดภัย
ที่มา: Bleepingcomputer
You must be logged in to post a comment.