ဟက္ကာတုိ႕၏ Wordpress Websites မ်ားအား တုိက္ခုိက္ျခင္း

ေဖေဖာ္ဝါရီလႏွင့္ မတ္လ၊ ႏွစ္လအတြင္းမွာ WordPress ဝက္ဆိုက္မ်ားအား တိုက္ခိုက္မႈေပါင္း (၁၀၀၀) ေလာက္ ရွိတယ္လို႔ အိုင္ဘီအမ္က သတင္းအရ သိရပါတယ္။ ဒါဟာ အရင္လေတြထက္စာရင္ (၄၅) ရာခိုင္ႏႈန္းေလာက္ တက္လာတာပါ။ ဒီတိုက္ခိုက္မႈေတြရဲ႕ လက္သည္ဟာ ယခင္ နာမည္ႀကီး Webshell တစ္ခုျဖစ္တဲ့ C99 ရဲ႕ မ်ိဳးကြဲတစ္ခုျဖစ္တယ္လို႔ VirusTotal ဆုိသည့္ Website တစ္ခုမွာ ေဖာ္ျပေနပါတယ္။

တိုက္ခိုက္မႈရဲ႕အစကေတာ့ pagat.txt ဆိုတဲ့ဖိုင္ကို ဆိုက္မွာတင္တာပါ။ အဲဒီ့အထဲမွာ ဖတ္မရေအာင္ေမႊထားတဲ့ php script ပါပါတယ္။ ဒီလိုနည္းနဲ႔ waf ကေန ဇကာတိုက္တာကို ေက်ာ္တာပါ။ အကယ္လို႔ Script ကို ျပန္ျဖည္ၿပီး အလုပ္လုပ္ၿပီးတာနဲ႔ တိုက္တဲ့သူဆီ အီးေမးျပန္ပို႔ပါတယ္။ ဒီေတာ့ အီးေမးရတာနဲ႔ ပစ္မွတ္ျဖစ္တဲ့ ဝက္ဆိုက္ဟာ တိုက္ခိုက္ခံရၿပီးေၾကာင္း သိႏိုင္ပါတယ္။

အဲဒီ့အခ်ိန္မွာ တိုက္ခိုက္သူအေနနဲ႔ Webshell တစ္ခု ရလာပါၿပီ။ အဲဒီ့ Shell ကတစ္ဆင့္ Command ေတြ ေပးလို႔ရပါၿပီ။ ဒီအခ်ိန္မွာေတာ့ တိုက္ခိုက္သူအေနနဲ႔ ဘယ္ဖိုင္ကိုမဆို ပို႔လို႔ရၿပီျဖစ္လို႔ တျခားလုပ္ေဆာင္ခ်က္ေတြလည္း လုပ္ႏိုင္မွာပါ။ ဂူးဂဲ (Google) ကေန "pagat.txt" ဆိုၿပီး ရွာၾကည့္တဲ့အခါမွာ ဝက္ဆိုက္ေတြ ရာနဲ႔ခ်ီၿပီး ေပၚေနတာ ေတြ႕ရပါတယ္။ အိုင္ဘီအမ္ရဲ႕ အဆိုအရေတာ့ ဒီတိုက္ခိုက္မႈေတြရဲ႕ တရားခံဟာ အင္ဒိုနီးရွားဟက္ကာ Hmei7 ျဖစ္ၿပီး သူဟာ ကမၻာတစ္လႊားက ဝက္ဆိုက္ေပါင္း (၁၅၀၀၀၀) ေက်ာ္ကို မ်က္ႏွာဖ်က္ (deface) ခဲ့သူပါ။

Webshell ေတြကို WordPress ဆိုက္ေတြကို တင္ေလ့ရွိၿပီး CMS (content management system) စနစ္မွာ လုံၿခဳံေရးအားနည္းခ်က္ ရွိတဲ့ဆိုက္ေတြ တျခားကရတဲ့ လုံၿခဳံေရးအားနည္းခ်က္ရွိတဲ့ plug-in ေတြ သုံးတဲ့ဆိုက္ေတြကို အဓိကတိုက္ခိုက္ေလ့ ရွိေၾကာင္း အိုင္ဘီအမ္က ရွာေဖြေတြ႕ရွိထားပါတယ္။

WordPress ဆိုက္ေတြကို ထိန္းေက်ာင္းသည့္ သူေတြအေနနဲ႔ C99 webshell ႏွင့္ အလားတူ တိုက္ခိုက္မႈေတြက ကာကြယ္ႏိုင္ဖို႔ ကိုယ့္ဆိုက့္ကိုယ္ကို အားနည္းခ်က္မရွိေအာင္ လုံၿခဳံေရးဆိုင္ရာ plug-in ေတြ သုံးတာ၊ တင္ကာစမွာ ေပးထားေလ့ရွိတဲ့ Setting ေတြကို လိုလားခ်က္နဲ႔အညီ လိုက္ေျပာင္းေပးတာ၊ Upload လုပ္ရတဲ့ ဖိုဒါနာမည္ကို ေျပာင္းထားတာ၊ ဖိုင္ေတြတင္လာတဲ့အခါ စစ္တာေဆးတာေတြ လုပ္ဖို႔ လိုပါတယ္။

Webshell မ်ားကုိအသုံးျပဳၿပီး တိုက္ခုိက္သည့္ ျဖစ္စဥ္မ်ားသည္ အခုကာလမွာ အသုံးမ်ားေနပါတယ္။ အရင္တပတ္ကပဲ ေက်ာင္းမ်ားႏွင့္ အက်ိဳးအျမတ္မယူတဲ့ အဖြဲ႕အစည္း (Non Profit Orgnization) ေတြရဲ႕ ဆိုက္ေတြကို ransomware ပါတဲ့ webshell ေတြ တင္တာမ်ိဳးကို ဆစၥကိုက ေတြ႕ထားပါေသးတယ္။ ဒါေၾကာင့္ Web Developer မ်ားကုိ လုံျခံဳေရးသတိ မျပတ္ဖုိ႕ အုိင္ဘီအမ္မွ ေဆာ္ၾသထားပါတယ္။

2-5-2016

သတင္းစီစဥ္ တင္ဆက္သူ - Nub90d (MEHN)