เว็บไซต์ WordPress และ Joomla กว่า 700 ไซต์ ถูกติดเชื้อมัลแวร์ ionCube ที่ปลอมตัวเป็นไฟล์ ionCube-encoded ที่ถูกต้อง
IonCube เป็น PHP Encoder เก่าและทรงพลัง ใช้สำหรับ encrypt และปกป้องไฟล์ด้วย PHP encoding, encryption, obfuscation และ licensing capabilities เนื่องจาก licensing costs ionCube ไม่ได้เป็นตัวเลือกสำหรับการใช้งานอันตรายโดยทั่วไป
อย่างไรก็ตาม โจมตีพบวิธีปลอมแปลงมัลแวร์ให้คล้าย ionCube-encoded files เพื่อควบคุมเว็บไซต์ต่างๆ เว็บไซต์ที่ได้รับผลกระทบรวมถึง WordPress, Joomla, และ CodeIgniter มัลแวร์นี้อนุญาตให้แฮกเกอร์สร้าง backdoor บนเว็บไซต์ที่เปราะบาง ทำให้เกิดการขโมยข้อมูลจากผู้ใช้ไซต์ที่เปราะบาง
สัญญาณของการติดเชื้อมัลแวร์ ionCube
นักวิจัยค้นพบไฟล์ ionCube ปลอมมากกว่า 7000 ไฟล์ ที่มีชื่อดูปกติ รันบน PHP servers ตามนักวิจัย บางบรรทัดมีอยู่ใน ionCube file ที่แท้ แต่ไฟล์ปลอมไม่ได้เป็นเช่นนั้น นอกจากนี้ ทุก legitimate Ioncube file มี reference ไปยัง ioncube.com domain ไฟล์ปลอมไม่ได้เป็นเช่นนั้น
นี่คือลักษณะของไฟล์ ionCube ปลอม
ในขณะที่ไฟล์ ionCube แท้มีลักษณะแบบนี้:
เพิ่มเติม นักวิจัยค้นพบ code blocks หลัง PHP closing tags ที่ประกอบด้วย alphanumeric characters และ newlines เท่านั้น ไม่เหมือนไฟล์แท้ ตามนักวิจัย:
การสืบสวนเปิดเผยพบ 700 ไซต์ติดเชื้อ รวม มากกว่า 7,000 ไฟล์ติดเชื้อ PHP files อย่าง "diff98.php" และ "wrgcduzk.php" ซึ่งเป็นไฟล์ obfuscated ที่น่าสงสัย ปรากฏเกือบเหมือนกันกับ legitimate ionCube-encoded files
เมื่อถอดรหัส ไฟล์ ionCube ปลอมประกอบด้วย ionCube malware ทางทฤษฎี โค้ดอันตรายที่ inject เข้าไปสามารถติดเชื้อเว็บไซต์ใดๆ ที่รันบน web server ที่ใช้ PHP ได้
วิธีลดทอน (Mitigate)?
อาจยากที่จะแยกแยะระหว่าง fake และ legitimate ionCube files เหตุผลคือมี malware variations มากมาย นอกจากนี้ หาก developer ไม่ได้ติดตั้ง ionCube-encoded files โดยเฉพาะ แต่พบไฟล์แบบนี้บนเซิร์ฟเวอร์ น่าจะติดเชื้อ มักพบได้ถึง 100 variants ที่แตกต่างนิดหน่อยของมัลแวร์บนไซต์เดียว นอกจากนี้ cross-compatibility กับ PHP versions ต่างๆ ต่ำ ลด viability ของการใช้เป็นมัลแวร์
มัลแวร์ ionCube สามารถ mitigate ได้ นักวิจัยแนะนำ administrators ตรวจสอบการมีอยู่ของ ionCube-encoded files เป็น indicator of compromise เมื่อตรวจพบแล้ว เพื่อกำจัดภัยคุกคามอย่างสมบูรณ์ ต้องทำ site-wide scanning เป็นบังคับ พร้อมกับใช้ Web Application Firewall (WAF)
ดาวน์โหลด Secure Coding Practices Checklist for Developers ฟรี เพื่อให้แน่ใจว่าไซต์ของคุณปฏิบัติตามทุกด้านของ coding security
เพื่อป้องกันเว็บไซต์จากภัยคุกคามออนไลน์แบบนี้ต่อไป ติดตั้ง Astra's Web Security Firewall
