هشدار مرکز ماهر؛ وب‌سایت‌های وردپرس نیز درگیر کلاه‌برداری شدند

به گزاش کارگروه امنیت سایبربان به نقل از مرکز ماهر، حملات کلاه‌برداری تجارت الکترونیک به یک مشکل اساسی در سه سال گذشته تبدیل‌شده و شرکت‌های تجاری بزرگی که از بستر Magento استفاده می‌کنند توسط یک بدافزار به نام Magecart که مبالغ هنگفتی را از آن خودکرده است، آسیب‌دیده‌اند.

هدف این نوع حمله، سوءاستفاده از ضعف امنیتی برای تزریق کد مخرب در سیستم‌های پرداختی و به‌دست آوردن اطلاعات کارت اعتباری زمان واردکردن آن‌ها توسط مشتری است.

مشتریان، محصولات یا خدماتی که برای آن‌ها هزینه پرداخت کرده‌اند را دریافت می‌کنند، درحالی‌که در پس‌زمینه جنایتکاران داده‌های لازم را به‌منظور کلاه‌برداری کارت ضبط کرده‌اند.

این حملات معمولاً تا زمانی که قربانی دارنده‌ کارت شکایتی نکند، شناسایی نمی‌شود.

کارشناسان شرکت امنیتی Sucuri، یک نرم‌افزار جدید کلاه‌برداری الکترونیکی کشف کردند که با بدافزارهای مشابه مورداستفاده در حملات Magecart متفاوت است.

این نرم‌افزار جدید کلاه‌برداری، در حمله به فروشگاه الکترونیکی مستقر در WordPress با سوءاستفاده از آسیب‌پذیری‌های افزونه‌ WooCommerce به کار گرفته می‌شود. مهاجمان در این حملات از کد جاوا اسکریپت مخرب مخفی درون سیستم‌فایل استفاده می‌کنند و اطلاعات پرداختی درون تنظیمات افزونه‌ WooCommerce را تغییر می‌دهند.

اغلب تزریق‌های کد جاوا اسکریپت، در انتهای فایل قانونی /wp-includes/js/jquery/jquery.js است (روش مؤثری که کشف آن برای مدافعان آسان است)؛ اما در این حمله‌ جدید، کد جاوا اسکریپت قبل از انتهای jQuery.noConflict تزریق‌شده است.

بخشی از اسکریپتی که اطلاعات کارت را ضبط می‌کند، در فایل «./wp-includes/rest-api/class-wp-rest-api.php» تزریق‌شده است. سپس این اسکریپت از تابع قانونی legal_put_contents برای ذخیره‌سازی آن‌ها در دو فایل تصویری مجزا (یک فایل PNG و یک فایل JPEG) که در شاخه‌ wp-content/uploads نگهداری می‌شوند، استفاده می‌کند. این بدافزار مخرب جزئیات پرداخت را جمع‌آوری می‌کند و شماره کارت و کد امنیتی CVV را به‌صورت ابرمتن در قالب کوکی ذخیره می‌کند.

در زمان تجزیه‌وتحلیل، هیچ‌یک از این دو فایل حاوی اطلاعات سرقتی نبوده‌اند؛ شرایطی که نشان می‌دهد پس از به‌دست آوردن اطلاعات توسط مهاجمان، این بدافزار دارای قابلیت پاک‌سازی خودکار فایل‌ها است.

همان‌طور که در بدافزارهای PHP معمول است، از چندین لایه رمزگذاری و الحاق در تلاش برای جلوگیری از شناسایی شدن و پنهان کردن کد اصلی آن از یک مدیر وب مستر استفاده می‌شود. تنها نشانه‌ بارز این حمله‌بر سیستم مدیریت محتوای WordPress این بود یک فایل PHP جهت تضمین بارگذاری شدن کد مخرب اضافه‌شده بود.

اگر این حملات علیه سایت‌های تجارت الکترونیک کوچک‌تر باشد، معمولاً تغییر اطلاعات پرداختی و ارسال سرمایه به یک حساب کاربری مخرب، آسان‌تر است.

متأسفانه هنوز مشخص نیست که مهاجمان چگونه در مرحله‌ اول وارد سایت شده‌اند، اما به‌احتمال‌زیاد از طریق به خطر انداختن حساب کاربری مدیر یا با سوءاستفاده از یک آسیب‌پذیری نرم‌افزار در WordPress یا WooCommerce این امر میسر شده است.

تمامی فروشگاه‌های تجارت الکترونیک نیاز به دفاع دقیقی دارند. WooCommerce این کار را از طریق تغییر در نام کاربری پیش‌فرض WordPress که admin بوده است به چیزی که حدس آن برای مهاجمان دشوار است و همچنین با استفاده از یک گذرواژه قوی، انجام داده است.

علاوه بر تنظیمات امنیتی خاص مانند محدود کردن تلاش برای ورود به سیستم و استفاده از احراز هویت دوعاملی، به‌روزرسانی WordPress و افزونه WooCommerce هم مهم است.

همچنین متخصصان Sucuri به مدیران وب‌سایت‌های WordPress توصیه می‌کنند که ویرایش مستقیم فایل را برای wp-admin با اضافه‌کردن خط define ( ‘DISALLOW_FILE_EDIT’, true ); به فایل wp-config.php، غیرفعال کنند.