Co się wydarzyło
Sklep na WooCommerce, wtyczka nieaktualizowana od lat i furtka na serwer.
Ostatnio prowadziliśmy analizę powłamaniową dla klienta prowadzącego sklep internetowy na WooCommerce (dane i branżę anonimizujemy — to mogła być Twoja strona). To, co znaleźliśmy, pokazuje, jak sprytnie potrafią działać dzisiejsi atakujący.
Atakujący wykorzystał lukę w nieaktualizowanej od lat wtyczce i przesłał na serwer ukrytą „furtkę" (webshell) podszywającą się pod zwykłą wtyczkę WordPress. W ciągu kilku minut wdrożył kolejny zestaw narzędzi do trwałego dostępu i zaczął zamieniać stronę w generator spamu — setki fałszywych podstron reklamujących zagraniczne serwisy hazardowe, podstawionych wprost pod prawdziwe adresy strony (np. „/kontakt/" czy „/aktualnosci/").
Dlaczego jednorazowe czyszczenie nie wystarczyło
Klient próbował naprawić stronę samodzielnie — przywrócił pliki WordPressa i usunął jedną złośliwą wtyczkę. Wyglądało na to, że problem zniknął. Nie zauważył jednak, że przy okazji przypadkiem wyłączył zaporę bezpieczeństwa (WAF) — i nikt tego nie monitorował. Dwa dni później atakujący po prostu wrócił przez furtkę, której nikt nie znalazł za pierwszym razem, i zaczął od nowa.
Co znaleźliśmy podczas pełnej analizy
- Webshell i zestaw narzędzi backdoor umożliwiający pełny zdalny dostęp do plików serwera.
- Ponad 150 fałszywych podstron w kilkudziesięciu katalogach, w kilku językach.
- Zatrutą mapę strony (
sitemap.xml) czytaną przez Google. - Furtkę dopisaną wprost do głównego pliku konfiguracyjnego WordPressa, ładującą złośliwy kod przy każdej wizycie.
- Najciekawszy (i najgroźniejszy) element: plik podszywający się pod nieszkodliwy „Hello Dolly", który przy każdym wywołaniu pobierał i uruchamiał dowolny kod z zewnętrznego repozytorium — czyli pełne zdalne wykonanie kodu na żądanie, bez potrzeby ponownego włamania.
To ostatnie znaleźliśmy dopiero w trzeciej, pełnej rundzie przeglądu każdego pliku na serwerze. Dobrze zamaskowana furtka potrafi przetrwać nawet kilka fal „sprzątania" — więcej o tym, jak dokładnie wygląda taki przegląd, piszemy na stronie jak analizujemy włamania.