แฮกเกอร์ใช้เว็บไซต์ Wordpress กว่า 2,000 เว็บในแคมเปญปล้นคริปโต และปล่อยแรนซัมแวร์

ชื่อ Wordpress นั้นได้รับทั้งชื่อเสียงในด้านความนิยมที่เหล่านักการตลาดออนไลน์มักจะนำมาใช้งานทำเว็บไซต์กันบ่อย ๆ แต่ในอีกแง่ก็มีชื่อเสียอย่างมากจากการที่มีปัญหาด้านความปลอดภัย, บั๊ก, มัลแวร์, และสารพัดปัญหา ข่าวนี้คงจะเป็นอีกข่าวที่เป็นข่าวร้ายของผู้ใช้งาน Wordpress

จากรายงานโดยเว็บไซต์ Biggo Finance ได้กล่าวถึงการตรวจพบแคมเปญที่มีการใช้เว็บไซต์ที่ถูกสร้างขึ้นบน Wordpress ซึ่งถูกแฮกมาได้จำนวนกว่า 2,000 เว็บไซต์ มาใช้ในการปล่อยมัลแวร์หลากชนิด ตั้งแต่มัลแวร์สำหรับเรียกค่าไถ่ (Ransomware), มัลแวร์ขโมยข้อมูล (Infostealer), และมัลแวร์ชนิดอื่น ๆ โดยทางทีมวิจัยจาก Check Point บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ได้เรียกแคมเปญนี้ว่า StopAndProtect ตามชื่อแรนซัมแวร์ตัวหนึ่งที่มีการใช้งานระบบยืนยันตัวตน (Authentication) แบบ Captcha ปลอมบนเว็บไซต์ที่ถูกแฮกมา นำไปสู่การรันสคริปท์ PowerShell และฝังมัลแวร์ลงเครื่อง ซึ่งเป็นวิธีการในรูปแบบ ClickFix โดยมัลแวร์ตัวดังกล่าวนี้ถูกตรวจพบในช่วงเดือนพฤษภาคมที่ผ่านมา โดยทางทีมวิจัยกล่าวว่า แคมเปญนี้ไม่ได้เป็นการอิงบนมัลแวร์ตัวใดตัวหนึ่ง แต่เป็นชุดเครื่องมือ (Toolkit) ของแฮกเกอร์ทั้งชุดทำงานร่วมกัน

ภาพจาก : https://finance.biggo.com/news/a6e1860e-7f0a-400d-b06a-4046a60c5868

ซึ่งหลังจากที่เหยื่อป้อนสคริปท์แล้วรันตามคำสั่ง PowerShell บนหน้าจอเป็นที่สำเร็จแล้ว ก็จะนำไปสู่การดาวน์โหลดมัลแวร์นกต่อ (Loader) ที่ถูกเขียนขึ้นบนภาษา .NET  โดยมัลแวร์ตัวนี้จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อดาวน์โหลด Loader ตัวที่สองลงมา ซึ่งตัวนี้จะทำหน้าที่ในการตรวจสอบว่ากำลังทำงานอยู่บนสภาวะแวดล้อมจำลอง (Sandbox) หรือไม่ โดยถ้าทดสอบแล้วพบว่าไม่ได้มีการทำงานอยู่บนสภาพแวดล้อมดังกล่าว ก็จะนำไปสู่การดาวน์โหลดไฟล์มัลแวร์ (Payload) ตัวจริงลงมาติดตั้ง โดย Payload นั้นจะเป็นชุดเครื่องมือแรนซัมแวร์ต่อไปนี้

• SilentEncryptor ใช้ในการเข้ารหัสไฟล์บนเครื่องของเหยื่อ
• NetworkShareScanner ใช้ในการแพร่กระจายมัลแวร์ไปยังอุปกรณ์ (Device) ต่าง ๆ ที่เชื่อมต่อกับเครื่องของเหยื่ออยู่
• VBS Spreader ใช้ในการแพร่กระจายมัลแวร์ไปยังเครือข่าย (Network) ที่เชื่อมต่อกับเครื่องของเหยื่ออยู่
• LockScreen ใช้ในการล็อกหน้าจอและแสดงข้อความเรียกค่าไถ่ (Ransom Note)
• SimpleChatProxy เป็นโปรแกรมแชทสำหรับให้เหยื่อติดต่อคุยกับแฮกเกอร์
• SilentDataCollector ใช้ในการบันทึกรายชื่อไดร์ฟของเหยื่อที่ถูกเข้ารหัสแล้วส่งกลับไปยังเซิร์ฟเวอร์ C2

นอกจากนั้นยังพบว่ามีการใช้งานมัลแวร์ Infostealer รุ่นใหม่ที่ไม่ถูกระบุชื่อ ซึ่งมีการเพิ่มความสามารถในการดักจับการพิมพ์ (Keylogging) ถ้ามีการตรวจพบที่อยู่อีเมล (Email Address), ความสามารถในการเก็บข้อมูลจากแอปพลิเคชันแชท Whatsapp, และดักบันทึกหน้าจอ (Screenshot) ทุก ๆ 30 วินาที ซึ่งในแคมเปญนี้นั้นหลายครั้งอาจไม่ได้นำไปสู่การติดตั้งชุดเครื่องมือแรนซัมแวร์ข้างต้นเสมอไป หลายครั้งนั้นเป็นเพียงการใช้มัลแวร์ Infostealer ตัวนี้เพื่อขโมยข้อมูลจากเครื่องเหยื่อเฉย ๆ เพียงเท่านั้น

ในส่วนของเว็บไซต์นั้น จากการตรวจสอบของทีมวิจัยพบว่าเว็บไซต์ที่ถูกแฮกได้ส่วนใหญ่นั้นเป็นเว็บไซต์ที่มีการใช้งาน Wordpress รุ่นที่ล้าสมัย รวมทั้งเว็บไซต์ที่มีการใช้งานปลั๊กอินที่มีช่องโหว่ความปลอดภัย ตัวอย่างเช่นบางเว็บไซต์ในกรณีนี้นั้นยังเป็นเว็บไซต์ที่ทำงานบน Wordpress เวอร์ชันปี ค.ศ. 2021 (พ.ศ. 2564) ซึ่งทำให่ตัวเว็บไซต์นั้นมีช่องโหว่ความปลอดภัยกว่า 70 ช่องโหว่ โดยเว็บไซต์ที่ถูกแฮกได้เหล่านี้จะทำหน้าที่อยู่ 3 อย่าง นั่นคือ ใช้ในการฝาก (Host) มัลแวร์, ทำหน้าที่เป็นเซิร์ฟเวอร์ C2 เพื่อส่งคำสั่งไปให้มัลแวร์, และใช้เป็นที่ฝากบันทึกการทำงานของมัลแวร์ (Log) ที่ถูกลักลอบส่งออกมาจากเครื่องของเหยื่อ (Exfiltration)

โดยการควบคุมเว็บไซต์นั้นแฮกเกอร์จะติดตั้งปลั๊กอินด้วยการอัปโหลดไฟล์บีบอัดสกุล .Zip ที่ภายในมีปลั๊กอินแบบ PHP ชื่อ uploader-installer.php โดยปลั๊กอินตัวนี้จะสร้างไฟล์ปลั๊กอินไว้ในโฟลเดอร์ wp-content/mu-plugins ของเว็บไซต์ ซึ่งจะเปิดทางให้ใครก็ตามที่มีรหัสผ่านเข้าใช้งานอย่างถูกต้อง สามารถอัปโหลดไฟล์ต่าง ๆ รวมทั้งไฟล์ PHP ไปยังพาร์ต (Path) บนเว็บไซต์ได้อย่างตามใจชอบได้ ซึ่งเมื่อเว็บไซต์ถูกดัดแปลงตามที่แฮกเกอร์ตั้งใจไว้แล้ว ตัวปลั๊กอินก็จะถูกหยุดการทำงานและลบออกเพื่อป้องกันการถูกตรวจจับ ซึ่งด้วยระบบการอัปโหลดปลั๊กอินเพื่อดัดแปลงหน้าเว็บไซต์นี่เอง ทำให้แฮกเกอร์สามารถใช้เพื่ออัปโหลดปลั๊กอินสำหรับทำหน้า ClickFix หลอกเหยื่อที่ใช้งานระบบปฏิบัติการ macOS เพื่อปล่อยมัลแวร์ขโมยข้อมูลชื่อว่า Atomic Stealer ใส่เครื่องของเหยื่อ ผ่านทางการอัปโหลดปลั๊กอินชื่อว่า activator.php โดยปลั๊กอินตัวนี้จะทำการลบตัวเองอย่างอัตโนมัติหลังจากถูกใช้งานเสร็จ