Blog tâm sự - Chuyện chúng mình

Một plugin WordPress giả mạo chứa cửa hậu (backdoor) và ba lỗ hổng zero-day, được cho là đang ảnh hưởng đến nền tảng blog cao cấp WordPress vừa được phát hiện.

Các chuyên gia bảo mật tại Trend Micro cho biết, backdoor được phát hiện là WP-SpamShield Anti-Spam, một công cụ khá phổ biến được thiết kế để chống lại thư rác. Trong khi đó, ba lỗ hổng zero-day đang được khai thác và được các nhà phân tích bảo mật tại WordPress theo dõi.


Liên quan đến backdoor, nó có thể vô hiệu hóa công cụ bảo mật, ăn cắp dữ liệu và thêm một tài khoản quản trị ẩn. Các nhà nghiên cứu bảo mật đã phát hiện ra rằng plugin giả mạo có một cấu trúc và tên tập tin dường như hợp pháp nhưng thực sự giả mạo. Ngoài ra, backdoor còn có thể cho phép kẻ tấn công tải lên bất cứ thứ gì vào trang web.

Một trong những tập tin trong plugin mang tên class-social-facebook.php có vẻ như chặn các spam Facebook không mong muốn. Tuy nhiên, phân tích thêm cho thấy nó được thiết kế để phá vỡ trang web, có khả năng khiến trang web không thể sử dụng được.

Hai tập tin khác trong plugin có tên class-term-metabox-formatter.php và class-admin-user-profile.php có thể được kẻ tấn công sử dụng để thu thập dữ liệu. Một tập tin khác có tên plugin-header.php được thiết kế để thêm tài khoản quản trị viên bổ sung vào trang web, cho phép kẻ tấn công xóa các tập tin khai thác, đồng thời tiết lộ tên người dùng, mật khẩu và email có thể được sử dụng để đăng nhập trang web bị xâm nhập.

Các plugin giả mạo cũng chứa mã có thể sử dụng để ping trang chủ, thông báo đến kẻ tấn công mỗi khi một quản trị viên kích hoạt nó trên trang web.

Trong khi đó, các trang web sử dụng các plugin nhất định có thể bị tấn công sau khi lỗ hổng zero-day được tìm thấy trong ba plugin WordPress riêng biệt là Appointments, RegistrationMagic-Custom Registration Forms và Flickr Gallery.

Mang tên PHP Object Injection Vulnerability Severity 9.8, lỗ hổng này cho phép kẻ tấn công vận dụng trang web dễ bị tổn thương để tìm nạp tập tin từ xa, sau đó lưu nó vào vị trí riêng. Nó không yêu cầu chứng thực hoặc quyền đặc biệt. Đối với các trang web chạy Flickr Gallery, chỉ cần gửi các lệnh như một yêu cầu POST vào URL gốc của trang web để có được công việc làm.

Với Appointments và RegistrationMagic-Custom Registration Forms, yêu cầu sẽ chuyển đến admin-ajax.php. Nếu kẻ tấn công truy cập vào cửa hậu của plugin, chúng có thể kiểm soát được trang web dễ bị tổn thương.

Trend Micro khuyến cáo các quản trị viên WordPress có thể vá các lỗ hổng zero-day nói trên thông qua các liên kết tương ứng Appointments (2.2.2), Flickr Gallery (1.5.3) và RegistrationMagic-Custom Registration Forms (3.7.9.3).

Ngoài các phương pháp xử lý trực tiếp, các chuyên gia CNTT và nhà phát triển/lập trình web cũng có thể phòng chống các mối đe dọa bằng các giải pháp từ Trend Micro, gồm Smart Protection Suites, Worry-Free Business Security, Deep Security, Vulnerability Protection và Deep Discovery.

Các chuyên gia bảo mật dành hầu hết thời gian để đối phó các mối đe dọa trên mạng mỗi ngày trong khi những kẻ tấn công mạng thì lại dành thời gian của chúng để nghĩ ra cách mới nhằm tránh bị phát hiện. Một trong những cách mới này là fileless malware – loại mã độc không cần sử dụng bất kỳ tập tin nào trong quá trình hoạt động – được thiết kế để lẩn tránh sự phòng ngừa của các phần mềm dò tìm dấu vết mã độc.

Mô hình tấn công của mã độc mới - Nguồn: Trend Micro

Hãng bảo mật Trend Micro đã phát hiện ra một ví dụ về mối đe dọa mới này. Hiện cách thức tấn công mới này vẫn chưa tạo ra tác động lớn, nhưng nó là lời cảnh báo mạnh vì hacker có thể dùng các mã độc mới dựa trên cách thức này có sức phá hoại cao hơn.

Hãng bảo mật trên đã phát hiện trojan đặc biệt JS_POWMET trong cuộc tấn công. Quá trình tấn công bắt đầu bằng việc thâm nhập vào Windows Registry: trojan được tải về khi người dùng truy cập các trang web độc hại hoặc được kéo về bởi một mã độc khác, sau đó nó tự động được thêm vào một mục tự động khởi chạy trong Registry. Mã tự động này sẽ kéo JS_POWMET về từ một máy chủ kiểm soát. Việc sửa đổi Registry cho phép các hacker sử dụng mã để tùy ý thực thi các hoạt động mà không lưu lại tập tin XML trên máy.

Khi JS_POWMET được thực thi, nó sẽ tải về một tập tin khác, TROJ_PSINJECT. TROJ_PSINJECT sẽ kết nối tới một trang web để tải về một tập tin bình thường gọi là favicon. Tập tin này sẽ được giải mã để qua các bước khác xâm nhập các tập tin EXE/DLL. Một khi kiểm soát các file EXE hay DLL, hàng loạt đoạn chương trình sẽ được thực thi bởi mã độc thông qua lệnh PowerShell. Mã độc sẽ thu thập các thông tin hệ thống bao gồm đặc quyền của quản trị viên, phiên bản hệ điều hành, địa chỉ IP…

Các thu thập trên không quá nguy hiểm nhưng Trend Micro cảnh báo rằng tác giả của JS_POWMET có thể dễ dàng sử dụng cách thức tấn công này cho các mã độc “tiến hóa” hơn nhằm phục vụ mục đích tấn công cao hơn, thu thập nhiều thông tin cá nhân hơn từ các nạn nhân.

Hãng bảo mật cho rằng một trong những phương thức hiệu quả để ngăn ngừa tác hại của fileless malware là giới hạn quyền truy cập thông qua môi trường sandbox cô lập các mối đe dọa, tách thiết bị đầu cuối ra khỏi các kết nối mạng quan trọng. Đối với mã độc đặc biệt này, có thể phòng ngừa bằng cách vô hiệu hóa bản thân Powershell nếu các thành phần khác của Windows không cần đến nó.

Hãng này cũng cảnh báo các tổ chức và người dùng cá nhân nên đề cao cảnh giác với các tập tin và mã độc, chúng sẽ luôn tìm cách để xâm nhập vào các hệ thống có sự đề phòng lỏng lẻo.