กำจัดมัลแวร์เป้าหมาย OpenCart และ Magento - คู่มือฉบับสมบูรณ์

Credit Card Hijacking บน Magento และ OpenCart

Credit Card Malware / Hijacking เกิดเมื่อโค้ด PHP/JavaScript ร้ายถูกฉีดเข้าไปในร้าน Magento และ OpenCart เพื่อขโมยข้อมูลบัตรเครดิตของลูกค้า วิธีฉลอบนี้ไม่ถูกตรวจพบนานถึง 6 เดือน มีหลายเคสที่แฮกเกอร์โจมตี Magento Payment Security

Credit Card Malware Hack คืออะไร? อาการอย่างไร?

เมื่อ E-commerce Platform ยอดนิยม เช่น Magento, OpenCart ได้รับความนิยม การติดมัลแวร์ก็เพิ่มขึ้น แฮกเกอร์ แก้ไข Core Files ของ CMS เพื่อขโมยข้อมูลบัตรเครดิต อาการ:

• บัตรเครดิตลูกค้าถูกใช้ทำธุรกรรมปลอม
• Error ขณะพยายามซื้อสินค้า
• Checkout ช้าและค้าง
• Pop-up/ข้อความแปลกบนเว็บ
• Login Admin Zone ใช้เวลานานผิดปกติ

ผลกระทบจาก Payment Gateway Hack

มัลแวร์ขโมยข้อมูลต่อไปนี้ส่งไป Server ควบคุมโดยแฮกเกอร์:

1. Credit Card Info: หมายเลขบัตร, CVV, Expiry Date
2. Admin Login Activity ของ Magento
3. PII (Personally Identifiable Information): รหัสผ่าน, IP, ชื่อ-นามสกุล, Email, Address, Phone, DOB
4. Server Info ของร้าน Magento/OpenCart

Web Application Firewall (WAF) จำเป็นสำหรับร้าน E-commerce ตรวจสอบ Traffic ทั้งหมด บล็อก Request อันตราย

วิธีแก้ไข Credit Card Malware Hack

ซับซ้อนเพราะ Malware Scanner ทั่วไปมักพลาดชนิดนี้ (Targeted & Varies per store)

ขั้นตอน 1: เช็ค Core System Files ที่อาจถูกแก้ไข

ล็อกอินเซิร์ฟเวอร์ ตรวจสอบไฟล์เหล่านี้ว่าถูกแก้ไขล่าสุดหรือไม่:

Magento 1.9.X

• app/code/core/Mage/XmlConnect/Block/Checkout/Payment/Method/Ccsave.php
• app/code/core/Mage/Client/controllers/AccountController.php
• app/code/core/Mage/Payment/Model/Method/Cc.php
• app/code/core/Mage/Checkout/Model/Type/Onepage.php

OpenCart 1.5 / 2.0

• catalog/controller/extension/payment/pp_payflow.php
• catalog/controller/extension/payment/pp_pro.php
• catalog/controller/extension/payment/authorizenet_aim.php
• catalog/controller/extension/payment/sagepay_us.php
• catalog/controller/extension/credit_card/sagepay_direct.php

โค้ดร้ายใช้ cURL ใน PHP ส่งข้อมูลบัตรเครดิตไป Server แฮกเกอร์

ขั้นตอน 2: เช็คไฟล์ที่ถูกแก้ไขล่าสุด

SSH เข้าเซิร์ฟเวอร์ รัน:

find /path-of-www -type f -printf '%TY-%Tm-%Td %TT %p\n' | sort -r

เปิดไฟล์ที่แก้ไขล่าสุดใน Text Editor ตรวจสอบโค้ดน่าสงสัย ลูกค้า Astra จะได้อีเมลแจ้งไฟล์ที่เปลี่ยนแปลง

ขั้นตอน 3: หา Web Shell และ Backdoor Files

แฮกเกอร์อาจอัปโหลด Web Shell/Backdoor เพื่อเข้าถึงต่อ SSH รัน:

find /var/www -name "*.php" -exec grep -l "$_FILES\[" {} \;

เปิดไฟล์ที่เจอ หาโค้ดที่จัดการ $_FILES (File Upload Handling)

ขั้นตอนป้องกันและหาสาเหตุ

1. อัปเดต OpenCart/WordPress เวอร์ชันล่าสุด: ปิดช่องโหว่ Core CMS
2. สแกน File Upload หามัลแวร์: ป้องกัน Shell Upload (เปิดใน Astra Dashboard)
3. เปลี่ยน Username/Password Admin: กันแฮกเกอร์เข้าถึงหลังทำความสะอาด
4. เปลี่ยน Database Password: กันการเข้าถึง DB โดยตรง
5. สแกน Server Logs (Access/Error): หา Error/Charabia บ่งชี้แหล่งที่มาและเวลาที่โจมตี
6. ป้องกันการโจมตีอนาคตด้วย WAF: Astra Security Suite ป้องกัน Request อันตราย Real-time Virtual Patching