มัลแวร์ Redirect ใหม่ส่งผู้ใช้ไปยังไซต์ Adult Dating ผ่าน Google SERP Spam - ภัยคุกคาม WordPress, Magento, Joomla

พบมัลแวร์ Redirect ชนิดใหม่ที่ส่งผู้เยี่ยมชมไปยัง เว็บไซต์ Adult Dating ปลอม แคมเปญนี้เพิ่มหน้าเว็บปลอมพันหน้าลงในเว็บไซต์และถูกจัดดัชนีโดย Google Search หากค้นหา site:example.com จะเห็นผลลัพธ์แปลกประหลาดมากมาย

อาการบ่งชี้ว่าเว็บไซต์ติดเชื้อ

1. มีผลลัพธ์ Google Search มากมายสำหรับหน้าที่คุณไม่เคยสร้าง
2. คลิกลิงก์เว็บของคุณใน Google แล้วถูก Redirect ไปยังไซต์ Adult/Gambling/Dating
3. มีหน้าเว็บใหม่เพิ่มขึ้นในเว็บไซต์ที่คุณไม่รู้จัก
4. มี Admin user แปลกหน้าปรากฏในแดชบอร์ด
5. เว็บไซต์ช้าลงอย่างมาก
6. ได้รับข้อความเตือนจาก Google Search Console

กรณีศึกษา: Drupal 7

ทีมวิจัยสืบสวนพบว่าแฮกเกอร์ซ่อนมัลแวร์ด้วยเทคนิคขั้นสูง ทำให้ยากมากที่จะค้นพบ โค้ดมัลแวร์ถูกฝังในไฟล์ includes/template.inc และถูกเพิ่มเข้า Drupal Registry เพื่อโหลดอัตโนมัติทุก Request

ฟังก์ชัน getMimeDescription() ถูกใช้สร้างพาธไปยังไฟล์มัลแวร์อีกไฟล์หนึ่ง:

sites/all/themes/Porto/vendor/prettyPhoto/images/prettyPhoto/light_rounded/loader1.gif

ไฟล์นี้มีข้อมูลถูกบีบอัดด้วย gzinflate() และเข้ารหัส Base64 หลายชั้น หลังถอดรหัสครบ พบโค้ดมัลแวร์จริงที่จัดการ Redirect ตามประเภท: essay, pharm, dating, loan, media, download

วิธีแก้ไข Redirect ไปยัง Fake Adult Dating Sites

1. สแกนไฟล์และฐานข้อมูลหามัลแวร์ (แฮกเกอร์ซ่อนโค้ดหลายชั้น)
2. อ้างอิงคู่มือ WordPress Malware Removal สำหรับทำความสะอาดเอง

ข้อแนะนำด้านความปลอดภัย

1. แบ็กอัปเว็บไซต์ก่อนทำการแก้ไข
2. อัปเดต CMS, ปลั๊กอิน, ธีม เป็นเวอร์ชันล่าสุด
3. ระบุสาเหตุการแฮ็กและปิดช่องโหว่
4. ติดตั้ง Firewall ที่แข็งแกร่ง
5. หลีกเลี่ยงสิทธิ์ไฟล์ 777 ตั้งโฟลเดอร์ 755 ไฟล์ 644
6. ตรวจสอบ Admin user แปลกหน้าใน Backend
7. ลบไฟล์แบ็กอัปเก่า (.zip, .sql, .tar) ใน public_html