เหตุการณ์เกิดขึ้นเมื่อเร็วๆ นี้ เมื่อนักพัฒนาระบบ BestWebSoft ขาย Plugin Captcha ของ WordPress ให้กับบุคคลที่ไม่เปิดเผยรายหนึ่ง ซึ่งบุคคคลที่ซื้อไปนี้ได้ทำการแก้ไขปลั๊กอิน เมื่อมีผู้ดาวน์โหลดปลั๊กอิน และทำการติดตั้งมันจะซ่อนช่องโหว่ไว้ในระบบ
บริษัทรักษาความปลอดภัย WordFence ได้ทำการตรวจสอบโค้ดของปลั๊กอินนี้ และได้โพสไว้ในบล็อกว่า ผู้เขียน Plugin Captcha สามารถเข้าระบบของเว็บไซต์ WordPress ได้โดยไม่ต้องตรวจสอบสิทธิ์ผู้ใช้ เนื่องจาก Plugin Captcha ได้ถูกกำหนดให้ดึงค่าของช่องโหว่ที่อัพเดทอัตโนมัติซึ่งจะถูกเรียกใช้จากเว็บ URL — https[://]simplywordpress[dot]net/captcha/captcha_pro_update.php — หลังจากทำการติดตั้ง Plugin ไว้ใน WordPress โดยที่เจ้าของเว็บไซต์ไม่ยินยอม
โค้ดช่องโหว่นี้ออกแบบมาเพื่อให้ Hacker สามารถเข้าสู่ระบบในฐานะผู้ดูแลระบบ โดยไม่ต้องทำการตรวจสอบสิทธิ์ผู้ใช้เลย ทำให้ Hacker สามารถเข้าสู่เว็บไซต์ที่ใช้ปลั๊กอินนี้มากกว่า 300,000 แห่ง WordFence ยังกว่าอีกว่า “ช่องโหว่ที่สร้างเซสชั่นผู้ใช้ 1 ID ( ซึ่งระบบจะตั้งค่าเริ่มต้นของ admin เมื่อทำการติดตั้ง WordPress ครั้งแรก) และตั้งค่าตัวเองเป็นเหมือนผู้ดูแลระบบ จากนั้นก็จะทำการลบตัวเองทิ้ง โค้ของช่องโหว่ที่ติดตั้งนี้ทำให้ใครก็ได้ที่ไม่ใช่ผู้ดูแลระบบสามารถเข้าใช้งานได้”
โค้ดของ Plugin Captcha ที่ถูกแก้ไขนั้นดูเผินๆ แล้วมันเกือบจะเหมือน Plugin ต้นฉบับ เนื่องจากกระบวนการอัพเดทอัตโนมัติจะทำการลบร่องรอยไฟล์ที่เป็นช่องโหว่ทั้งหมด ทำเหมือนว่าไม่ได้มไฟล์ หรือช่องโหว่ใดๆ เลย วิธีการนี้ช่วยให้ Hacker สามารถหลีกเลี่ยงการตรวจจับได้
เรายังไม่รู้ว่าทำไมถึงสร้างช่องโหว่นี้นี้ขึ้นมา แต่สันนิษฐานว่า คงต้องเป็นเรื่องเงิน เพราะคิดว่าคงมีคนยอมจ่ายเงินเป็นจำนวนมาก พื่อที่จะซื้อปลั๊กอินนี้เหมือนๆ กับกรณีที่แก๊งไซเบอร์ที่ได้สร้าง Plugin และแอพพลิเคชั่นขึ้นมา เพื่อให้ผู้ใช้ดาวน์โหลดจะติดมัลแวร์ แอดแวร์ และสปายแวร์
นักวิจัย WordFence ได้ทำการค้นหา พบว่าผู้ที่ซื้อ Plugin Captcha ไปได้จดทะเบียนโดเมน simplywordpress[dot]net ชื่อผู้จดทะเบียนคือ “Stacy Wellington” อีเมล์ “scwellington[at]hotmail.co.uk.” จากนั้นนักวิจัยก็ทำการสืบค้นต่อไปอีกใน whois ก็พบว่ามีโดเมนหลายๆ โดเมนจดทะเบียนในชื่อผู้ใช้เดียวกัน รวมไปถึง Convert me Popup, Death To Comments, Human Captcha, Smart Recaptcha, และ Social Exchange ซึ่งโดเมนทั้งหมดที่กล่าวมานี้ถูกจดไว้ในชื่อของผู้ที่สร้างโค้ดช่องโหว่ที่ WordFence พบใน Plugin Captcha ของ WordPress
ตอนนี้ WordFence ได้ร่วมมือกับ WordPress เพื่อทำการแก้ไข Plugin Captcha และปล็อกไม่ให้ HAcker ทำการอัพเดท และแนะนำว่าให้ทำการอัพเดท Plugin Captcha ให้เป็นเวอร์ชันล่าสุด คือเวอร์ชั่น 4.4.5
ทาง WordFence กล่าวว่าหลังจากนี้ไปอีก 30 วัน จะนำรายละเอียดทางเทคนิคเกี่ยวกับการติดตั้ง และการทำงานของช่องโหว่นี้ รวมไปถึงเหตุผลที่ Hacker สร้างช่องโหว่นี้ขึ้นมา
ที่มา : The Hacker News
ที่มาภาพ : The Hacker News