พบมัลแวร์ในปลั๊กอิน Rank Math PRO บน WordPress เสี่ยงทำเว็บไซต์ถูกฝัง Backdoor

ผู้พัฒนาปลั๊กอินสำหรับ WordPress ยืนยันว่าไฟล์ดาวน์โหลดของ Rank Math PRO บางส่วนจากเว็บไซต์ทางการถูกแทรกมัลแวร์ในลักษณะการโจมตีผ่านห่วงโซ่อุปทาน (Supply Chain Attack) โดยผู้ที่ดาวน์โหลดเวอร์ชัน 3.0.123 ระหว่างเวลา 20:02 น. UTC ของวันที่ 15 ตุลาคม ถึง 07:12 น. UTC ของวันที่ 16 ตุลาคม อาจได้รับไฟล์ที่ถูกแก้ไข ซึ่งสามารถทำให้เว็บไซต์ถูกควบคุมได้เมื่อเปิดใช้งานปลั๊กอิน ทั้งนี้ผู้พัฒนาระบุว่าเป็นผู้ใช้จำนวนจำกัด และได้ถอนไฟล์ที่ได้รับผลกระทบออกพร้อมปล่อยเวอร์ชันที่ปลอดภัย 3.0.124 แล้ว โดยผลกระทบจำกัดเฉพาะเวอร์ชัน PRO ซึ่งเป็นเวอร์ชันเสียเงิน ส่วนเวอร์ชันฟรีบน WordPress.org ซึ่งมีผู้ใช้งานมากกว่า 4 ล้านเว็บไซต์ไม่ได้รับผลกระทบ

สำหรับรายละเอียดของการโจมตี เมื่อมัลแวร์ถูกเปิดใช้งาน ตัวโปรแกรมจะสร้างช่องทางการเชื่อมต่อแบบถาวรไปยังโดเมนอันตรายชื่อ rank1cdn[.]com และจะทำการสร้าง Backdoor ขึ้นมาใหม่ทุกครั้งที่มีผู้เยี่ยมชมเว็บไซต์ที่ติดมัลแวร์ดังกล่าว ส่งผลให้ข้อมูลสำคัญบนเว็บเซิร์ฟเวอร์ เช่น รหัสผ่านฐานข้อมูล คีย์ API และข้อมูลความลับอื่น ๆ มีความเสี่ยงสูงที่จะรั่วไหล เบื้องต้นมีรายงานการตรวจสอบพบสคริปต์อันตรายที่เชื่อมโยงกับเหตุการณ์นี้ ซึ่งมีพฤติกรรมพยายามสร้างบัญชีผู้ดูแลระบบปลอมโดยใช้ชื่อนำหน้าว่า wpsupport_ และใช้อีเมลโดเมน @wp-mail.net รวมถึงมีวิธีการที่สามารถรันคำสั่งแก้ไขฐานข้อมูล WordPress และลักลอบขโมยข้อมูลรับรองของบริการคลาวด์ต่าง ๆ ได้

ผู้พัฒนาได้แก้ไขปัญหาเบื้องต้น ด้วยการนำไฟล์ที่ถูกแทรกมัลแวร์ออกจากระบบแล้ว และปล่อยอัปเดตเวอร์ชัน 3.0.124 ที่ปลอดภัยออกมา สำหรับผู้ดูแลระบบที่เปิดใช้งานปลั๊กอินในช่วงเวลาที่เกิดเหตุ ควรทำการกู้คืนข้อมูลจากไฟล์สำรองที่ปลอดภัย พร้อมทั้งเปลี่ยนรหัสผ่านและคีย์ระบบทั้งหมด ในกรณีที่ไม่มีไฟล์สำรอง การปิดใช้งานหรืออัปเดตปลั๊กอินเพียงอย่างเดียวจะไม่สามารถลบมัลแวร์ได้ ผู้ดูแลระบบจำเป็นต้องลบโฟลเดอร์ปลั๊กอินออกทั้งหมด ตรวจสอบและลบฐานข้อมูลที่ผิดปกติ ลบบัญชีผู้ดูแลระบบที่ไม่ได้อนุญาต และแนะนำให้บล็อกการเชื่อมต่อขาออกไปยังโดเมนอันตรายดังกล่าวเพื่อลดความเสี่ยงที่ระบบจะถูกโจมตีซ้ำในอนาคต

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/