OpenCart ถูกแฮก? คู่มือกำจัดมัลแวร์แบบมืออาชีพทีละขั้นตอน

ถ้าเดาถูก คุณกำลังเผชิญกับสถานการณ์ OpenCart ถูกแฮก หรือกำลัง掙扎กับการกำจัดการแฮก ถูกต้องไหม? หากคุณเข้ามาที่หน้านี้ด้วยเจตนาทำความสะอาดร้าน OpenCart ที่ถูกแฮก คุณมาถูกที่แล้ว

ในบทความนี้ เราจะเจาะลึกกรณี OpenCart ถูกแฮก พูดถึงอาการทั่วไป สาเหตุ และจะผ่านแผนการกำจัดการแฮก OpenCart ที่ทำงานจริง

ข้อจำกัดความรับผิดชอบ: กระบวนการที่อภิปรายในบทความนี้ เหมาะกับคนที่คุ้นเคยกับความรู้เทคนิคพื้นฐาน กระบวนการนี้จะใช้เวลาและอาจดูน่าเบื่อ หากคุณไม่มีประสบการณ์ก่อนหน้าในการจัดการ Backend สำคัญของร้าน เราขอแนะนำให้ขอความช่วยเหลือจากมืออาชีพ ไม่ว่าจะแม้คุณจะมีความรู้เทคนิคปานกลาง การทำความสะอาดมัลแวร์ให้สมบูรณ์และสำเร็จ เป็นงานที่ง่ายกว่าที่คิด

การทำความสะอาดมัลแวร์โดยมืออาชีพ ไม่เพียงช่วยประหยัดเวลาและความพยายาม แต่ยังลดเวลาตอบสนองเหตุการณ์ (Incident Response Time) ลงมาก การควบคุมความเสียหายและกลับคืนสภาพเดิมทันเวลา เป็นปัจจัยสำคัญสำหรับเว็บไซต์ที่ถูกแฮก โดยเฉพาะอย่างยิ่ง E-commerce

อาการ OpenCart ถูกแฮก (OpenCart Hacked Symptoms)

ร้าน OpenCart ของคุณแสดงหลายสัญญาณเมื่อถูกแฮก อาการทั่วไปของ OpenCart ถูกแฮก มีดังนี้:

1. เข้าสู่ระบบหลายครั้งจากสถานที่ที่ไม่ได้รับอนุญาต

ด้วยการเข้าสู่ระบบพอร์ทัลแอดมินหลายครั้งจากสถานที่ต่างกัน ชัดเจนว่าเป็นสัญญาณ OpenCart ถูกแฮก คุณสามารถตรวจสอบประวัติการเข้าสู่ระบบ เวลาเข้าถึง และ IP address ของการเข้าถึงล่าสุดได้

2. มีบัญชีแอดมินหลายบัญชี

แดชบอร์ดควรจะมีบัญชีแอดมินเพียงหนึ่งบัญชี เว้นแต่คุณจะมีผู้ร่วมบริจาค แต่เมื่อคุณเปิดแดชบอร์ด คุณเห็นบัญชีแอดมินหลายบัญชี ที่ไม่ได้สร้างโดยคุณ นี่คือสัญญาณบ่งชี้ชัดเจน

3. ข้อมูลชำระเงินรั่วไหล

นี่อาจเป็นสัญญาณเตือนอันตรายที่สุด เมื่อคุณเริ่มได้รับเรื่องร้องเรียนจากผู้ใช้เว็บไซต์ ว่ารายละเอียดบัตรเครดิตรั่วไหล คุณควรหาทางออก นี่หมายความว่าเว็บไซต์ของคุณถูกใช้สร้างธุรกรรมปลอม

4. ออเดอร์ฟรี (Free Orders)

OpenCart เมื่อถูกแฮกโดยโค้ดอันตราย สามารถสร้างออเดอร์ที่ไม่ได้ชำระเงินได้ ด้วยวิธีนี้ คุณอาจเห็นว่าสินค้าถูกส่งมอบ แต่ไม่มีรายได้เกิดขึ้น

5. สแปมเมล (Spam mail)

การรับอีเมลสแปมจากเซิร์ฟเวอร์ของคุณไปยังผู้ใช้ ต้องเป็นสัญญาณเตือนให้ระวัง

6. ถูก Google ใส่ใน Blacklist

แม้อาการนี้อาจเกิดจากหลายเหตุผล หากคุณเห็นข้อความนี้มานานแล้ว แสดงว่าเว็บไซต์ของคุณถูกบุกครอบครอง

7. IP น่าสงสัยใน FTP Log

ระหว่างเซสชันล็อกอิน FTP log บันทึกกิจกรรมระหว่างเซสชันพร้อม IP address เมื่อ FTP log แสดง IP address ที่น่าสงสัย สิ่งสำคัญคือคุณต้องดำเนินการจริงจังต่อปัญหา

8. การใช้บัตรเครดิตผิดวัตถุประสงค์ (Credit Card Abuse)

ฮักเกอร์ที่ฉีด Card Skimmers, ฟอร์มชำระเงินปลอม, วิธีชำระเงินปลอม ก็เป็นหนึ่งในอาการ OpenCart ถูกแฮกที่พบบ่อยที่สุด ในกรณีแฮกบัตรเครดิตส่วนใหญ่ เจ้าของร้านทราบการแฮกจากลูกค้า ดังนั้น โปรดใส่ใจที่ร้องเรียนการใช้บัตรเครดิตผิดวัตถุประสงค์ของลูกค้า

ตัวอย่างการโจมตี OpenCart ถูกแฮก แบบต่างๆ

กรณี OpenCart ถูกแฮกส่วนใหญ่เกี่ยวข้องกับการแทรกมัลแวร์เข้าไปในไฟล์หลัก (Core) และไฟล์รอง – รวมถึงไฟล์ปลั๊กอิน & ธีม อย่างไรก็ตาม ฮักเกอร์ยังสามารถมุ่งเป้าฐานข้อมูล แผงแอดมิน ผู้ใช้ที่มีอยู่ แอดมิน หรือวิธีอื่นๆ เพื่อเข้าไปในร้านและปลูกมัลแวร์ได้

นี่หมายความว่า กรณี OpenCart ถูกแฮก แตกต่างกันไปมาก แต่มีรูปแบบที่ระบุได้บ้าง ซึ่งเราพยายามระบุลงไว้ที่นี่:

1. เข้าผ่านบัคดอร์ (Backdoor) – ผ่านช่องโหว่การดาวน์โหลด – เพื่อส่งรายละเอียดบัตรเครดิตของผู้ใช้ไปยังบัญชี yopmail
2. ฉีดโค้ดอันตรายในแผงแอดมิน เพื่อทริกเกอร์ข้อความออกไปยัง ID อันตรายจากเว็บไซต์เหยื่อ
3. เข้าสู่ระบบแผงแอดมิน และ
   1. ขโมยข้อมูลชำระเงิน,
   2. จัดการรายละเอียดออเดอร์,
   3. แก้ไขเนื้อหาเว็บไซต์ (Defacement),
   4. จัดการรายการสินค้า,
   5. แทรกลิงก์อันตราย, และอื่นๆ
4. การแทนที่โมดูลบัตรเครดิตด้วยโมดูลอันตรายหรือ Card Skimmer ก็ยังทำได้

ด้วยกิจกรรมดังกล่าวในแผงแอดมิน สร้างความวุ่นวายในเว็บไซต์ทั้งหมด จึงสำคัญที่จะหาสาเหตุรากฐานของการโจมตีเหล่านี้

สาเหตุ OpenCart ถูกแฮก (OpenCart Hacked Causes)

1. การสร้างมัลแวร์บนเว็บไซต์

การเขียนสคริปต์มัลแวร์บนเว็บไซต์และติดเชื้อเซิร์ฟเวอร์ เป็นสาเหตุหลัก ผ่านวิธีนี้ เว็บไซต์อื่นๆ บนเซิร์ฟเวอร์เดียวกันก็ได้รับผลกระทบ ทีม Astra เคยจัดการปัญหาการโจมตีมัลแวร์บน OpenCart มาก่อน นอกจากนี้ การโจมตีขโมยรายละเอียดบัตรเครดิต ก็ได้รับการแก้ไขโดย Astra ทำให้พวกเขาเป็นที่ดีที่สุดในธุรกิจไซเบอร์ความปลอดภัยในปี 2020

2. ช่องโหว่การเข้าถึงระยะไกลโดยโจมตี (RCE)

OpenCart เปราะบางต่อ RCE เวอร์ชันบางอย่างของ OpenCart สามารถถูกแฮกและฉีดโค้ดอันตรายได้จากระยะไกล การมีฟังก์ชัน JSON ใน OpenCart เป็นสาเหตุของ OpenCart ถูกแฮก

3. ช่องโหว่ CSRF (Cross-Site Request Forgery)

ช่องโหว่ CSRF ให้ฮักเกอร์ทำ Request ปลอมไปยังเซิร์ฟเวอร์แทนผู้ใช้ สามารถใช้ช่องโหว่นี้เพื่อเปลี่ยนแปลงเว็บไซต์ เพิ่มแอดมินปลอม แทรกบัคดอร์ หรือแม้แต่ลบเว็บไซต์ การขาดการตรวจสอบ & Sanitization ที่เหมาะสม การขาด Nonce check ไม่มีการ Escape เป็นบางวิธีที่ทำให้ร้านของคุณเปราะบางต่อช่องโหว่ CSRF

SQL Injection

ไม่กี่วันก่อน ส่วน Page ของ OpenCart มีช่องโหว่ SQL Injection ด้วยช่องโหว่นี้ โจมตีสามารถรัน Statement อันตรายได้ง่าย ทำให้เว็บไซต์ถูกบุกครอบครอง

นี่คือสาเหตุหลักเบื้องหลังการแฮกร้าน OpenCart เพิ่มเติมจากข้างต้น บันทึกไว้ว่ารหัสผ่านอ่อนแอ เป็นส่วนสำคัญของการร้องเรียน OpenCart ถูกแฮก

กระบวนการกำจัดมัลแวร์ OpenCart (OpenCart Malware Removal Process)

1. เปลี่ยนรหัสผ่านเป็นรหัสที่แข็งแกร่งกว่า

ก่อนอื่น เปลี่ยนรหัสผ่านของแผงแอดมินเป็นรหัสที่แข็งแกร่งกว่า ดำเนินการเปลี่ยนรหัสผ่านของฐานข้อมูล เพื่อป้องกันการเปลี่ยนแปลงในฐานข้อมูล รหัสผ่านฐานข้อมูลสามารถเปลี่ยนได้โดยใช้สคริปต์ต่อไปนี้:

update users set pass = concat(‘ZZZ’, sha(concat(pass, md5(rand()))));

2. สร้าง Backup (สำรองข้อมูล)

ต่อไป สร้าง backup ของร้านค้าของคุณ Backup ช่วยชีวิตคุณเมื่อคุณลบเว็บไซต์โดยไม่ตั้งใจ Backup ที่ดีและใช้งานได้ ควรมีไฟล์ทั้งหมดที่สำคัญสำหรับการทำงานของร้านอย่างราบรื่น ควรรวมไฟล์ที่กำหนดลักษณะและฟังก์ชันของร้าน

สรุปสั้นๆ Backup ควรมี: ไฟล์หลัก (Core files), ไฟล์ปลั๊กอิน & ธีม, ฐานข้อมูล, ฯลฯ

3. เปิดโหมดบำรุงรักษา (Maintenance Mode)

ตอนนี้คุณสร้าง backup แล้ว ถึงเวลาแจ้งลูกค้าว่าคุณกำลังแก้ไขร้าน วิธีที่ดีที่สุดคือ เปิด Maintenance Mode ฟีเจอร์ Maintenance Mode ในร้าน OpenCart ให้คุณเพิ่มหน้าจอ ‘Coming Soon’ บนร้าน คุณยังสามารถปรับแต่งหน้าจอนี้ได้ด้วยโลโก้ร้าน นาฬิกานับถอยหลัง ข้อความหรือรูปภาพที่ปรับแต่งเอง

4. สแกนร้านด้วย OpenCart Malware Scanner

ขั้นตอนต่อไปคือ ตรวจจับมัลแวร์ OpenCart Malware scanners เป็นเครื่องมือความปลอดภัยที่ทรงพลัง ที่สามารถบอกได้ว่าอะไรผิดปกติกับเว็บไซต์ของคุณในไม่กี่นาที

Malware Scanner ของ Astra ที่ฉลาดและขับเคลื่อนด้วย Machine Learning ตรวจจับลิงก์อันตราย ไฟล์ หรือโค้ดบนร้าน OpenCart ของคุณ มันยังให้ Utility ตรวจสอบการแก้ไขโค้ดแบบรวดเร็ว และตัวเลือกในการลบไฟล์อันตรายเพียงคลิกเดียว

5. ตรวจสอบบัคดอร์ที่เปิดอยู่ในเว็บไซต์

บัคดอร์ที่อยู่ในเว็บไซต์คือประตูทางเข้าสำหรับโจมตี ด้วยบัคดอร์ที่อยู่ ไม่ว่าคุณจะเปลี่ยนรหัสผ่านกี่ครั้ง คุณอาจ ไม่รู้ตัว แชร์รหัสผ่านกับโจมตี

ดังนั้น ให้มองหาบัคดอร์ที่อยู่ในเว็บไซต์ การใช้เครื่องมือที่ตรวจสอบการไหลของแพ็กเก็ตข้อมูล เช่น Wireshark มีประโยชน์ คุณสามารถติดตามข้อมูลที่ออกไป และปิดบัคดอร์ เพื่อป้องกันการรั่วไหลของข้อมูล เมื่อคุณยืนยันแล้วว่าเว็บไซต์มีบัคดอร์ เราขอแนะนำให้ปิดเว็บไซต์ (Go offline) หลังจากนำเว็บไซต์ออฟไลน์แล้ว คุณต้องลบโค้ดอันตรายออกจากเว็บไซต์ ก่อนนำกลับมาออนไลน์อีกครั้ง

5. ตรวจสอบรูปแบบ Base64

ในทางเทคนิค Base64 แทนการแปลง Binary เป็นรูปแบบข้อความของการเข้ารหัสข้อมูล คุณอาจต้องมองหาโค้ดในรูปแบบ Base64 ที่อยู่ในเว็บไซต์ของคุณ วิธีการเข้ารหัสแบบนี้ เข้าใจได้ดีกว่าด้วยมืออาชีพ

การถอดรหัสโค้ดอาจลองทำได้ด้วยคำสั่งบรรทัดคำสั่งต่อไปนี้:

find . -name “*.php” -exec grep “base64″‘{}’; -print &> hiddencode.txt

คำสั่งบรรทัดนี้จะบันทึกโค้ดที่เข้ารหัสต่างๆ ในไฟล์ชื่อ hiddencode.txt ซึ่งสามารถถอดรหัสต่อได้ด้วยเครื่องมือออนไลน์ คุณสามารถติดตามไปที่ตำแหน่งที่โค้ดเฉพาะอยู่ และแก้ไขให้ถูกต้อง

6. เปรียบเทียบ Checksum

ดาวน์โหลดไฟล์ Core ใหม่ (ที่เรียกว่า Checksum) จากไลบรารี OpenCart และเปรียบเทียบกับไฟล์เวอร์ชันปัจจุบันของคุณ ทำกระบวนการเดียวกันนี้สำหรับไฟล์ปลั๊กอินและธีม สำหรับฐานข้อมูล หากคุณมี Backup ที่ดีและเก่า ให้เปรียบเทียบฐานข้อมูลของคุณกับนั้น อย่างไรก็ตาม นั้นอาจไม่ใช่วิธีที่เหมาะสมที่สุดในการค้นหาการติดเชื้อฐานข้อมูล

หมายเหตุ: โปรดระวังเวอร์ชัน Checksum ที่คุณดาวน์โหลด ควรตรงกับเวอร์ชัน OpenCart ของคุณ

7. ลบการติดเชื้อทั้งหมด

จนถึงตอนนี้ คุณอาจค้นพบการแฮกแล้ว ขั้นตอนต่อไปคือ ลบมันออก

วิธีป้องกันการโจมตี OpenCart ถูกแฮก เพิ่มเติม

สิ่งสำคัญคือ ป้องกันการโจมตีเพิ่มเติม เพราะ Open Cart ถูกแฮก ไม่เพียงแต่ใช้เวลามาก แต่ยังนำไปสู่การสูญเสียลูกค้าจากชื่อเสียงที่แย่ลง เพื่อป้องกันการโจมตีแบบนี้ในอนาคต ปฏิบัติตาม Checklist นี้:

การ Backup เว็บไซต์เป็นประจำ (Regular Backup Of The Website)

อัปเดตและ Backup เว็บไซต์ของคุณเป็นประจำ การอัปเดตช่วยปกป้องเว็บไซต์จากช่องโหว่ แพทช์ใหม่ในอัปเดต เพิ่มการป้องกันจากช่องโหว่ในส่วนขยาย (Extensions)

การจัดการโฟลเดอร์ติดตั้ง (Handling the installation folder)

โฟลเดอร์ติดตั้งอาจเป็นสาเหตุปวดหัวของคุณ มีหลายแอปพลิเคชันที่สแกนหาโฟลเดอร์ติดตั้งบนเซิร์ฟเวอร์ ส่วนใหญ่ โฟลเดอร์ติดตั้งถูกปล่อยเปิดอยู่บนเซิร์ฟเวอร์ ขอแนะนำให้ลบโฟลเดอร์ติดตั้ง พวกมันมีข้อมูลความลับสูง อย่าลืมว่า โฟลเดอร์ติดตั้ง vQMod ต้องไม่ถูกลบ!

การควบคุมการเข้าถึงแผงแอดมิน (Regulating access to the Admin Panel)

ความปลอดภัยของแผงแอดมิน OpenCart ต้องได้รับการปรับปรุง สิ่งสำคัญคือ ต้องทราบว่าหลังจากโจมตีแล้ว มันเป็นความรับผิดชอบของคุณที่จะรักษาความปลอดภัยระดับสูงของแผงแอดมิน

• Admin URL ต้องเปลี่ยนชื่อ ให้ฮักเกอร์ไม่สามารถติดตาม URL ได้อีก การโจมตีหลายครั้งสามารถป้องกันได้ หาก URL ถูกเปลี่ยนเป็นรหัสสุ่มที่คุณจำง่าย
• เป็นการตัดสินใจที่ฉลาดที่จะจำกัดการเข้าถึงแผงแอดมินให้เฉพาะคุณ ใช้ไฟล์ .htaccess และเพิ่มโค้ดต่อไปนี้ในไฟล์:

<Files *.*> Order Deny, Allow Deny from all Allow from "IP" </Files>

ที่ IP = IP address ของคุณ

การใช้โค้ดนี้จำกัดการเข้าถึงโฟลเดอร์และโฟลเดอร์ย่อยต่างๆ

• ใช้ตำแหน่งต่อไปนี้เพื่อเข้าถึงไฟล์สำคัญในแผงแอดมิน เช่น admin.php หรือ index.php:

Users > User Groups ไฟล์เหล่านี้ไม่จำเป็นต้องแก้ไขทุกครั้งที่มีการโจมตีความปลอดภัย คุณสามารถตั้งค่าสิทธิ์ไฟล์เป็น 644 หรือ 444 และป้องกันการเปลี่ยนแปลงไฟล์เพิ่มเติม

การมี Firewall บนเว็บไซต์ E-Commerce (Having a Firewall on your E-Commerce Website)

ทุกเว็บไซต์ E-commerce มีธุรกรรมทางการเงินบนแพลตฟอร์ม ด้วยธุรกรรมทางการเงิน จึงสำคัญที่จะให้ความสำคัญกับความปลอดภัยสูง แต่ ปัญหา OpenCart ถูกแฮก อาจนำไปสู่การขโมยข้อมูลชำระเงินของผู้ใช้ เพื่อป้องกันกิจกรรมดังกล่าว เราขอแนะนำให้ใช้โซลูชันความปลอดภัยที่เหมาะสม Firewall เป็นเสjarahแรกของการโจมตีโดยโจมตี Astra OpenCart Security Suite ให้ Firewall ที่แข็งแกร่งเพื่อปกป้องเว็บไซต์จากการโจมตีอันตราย เนื่องจากได้รับการแนะนำโดย OpenCart โซลูชันความปลอดภัยครบวงจรสำหรับเว็บไซต์ของคุณคือ Astra