เว็บไซต์ Wordpress กว่า 2,000 เว็บติดมัลแวร์
เว็บไซต์ Wordpress กว่า 2,000 เว็บติดมัลแวร์ พบใช้งานคอมเมนต์ Steam เป็นช่องทางหลักในการฝังมัลแวร์
จากรายงานโดยเว็บไซต์ SCWorld ได้กล่าวถึงการที่ทีมวิจัยจาก GoDaddy บริษัทผู้จัดจำหน่ายโดเมน (Domain) ยอดนิยม ได้ตรวจพบแคมเปญแพร่กระจายมัลแวร์โดยมีเป้าหมายเป็นเว็บไซต์ที่ถูกสร้างขึ้นบนแพลตฟอร์มของ Wordpress ซึ่งมีเว็บไซต์ที่ตกเป็นเหยื่อมากถึง 1,980 เว็บไซต์ทั่วโลก ซึ่งทางทีมวิจัยได้ตรวจพบแคมเปญนี้ครั้งแรกในช่วงเดือนกรกฎาคม ค.ศ. 2025 (พ.ศ. 2568) โดยจากการตรวจสอบนั้นคาดว่าตัวเว็บไซต์อาจติดมัลแวร์ในจุดเริ่มแรก (Initial Infection) ผ่านทางธีม (Theme) และ ปลั๊กอิน (Plug-In) ที่มีมัลแวร์แฝงอยู่, จากรหัสผ่านที่ถูกขโมยไปทำให้แฮกเกอร์แอบเข้ามาฝังมัลแวร์บนเว็บไซต์, หรืออาจเป็นการที่เครื่องมือที่ใช้งานอยู่บนเว็บไซต์ถูกโจมตีด้วยวิธีการแบบการโจมตีห่วงโซ่อุปทาน (Supply Chain Attacks) นำมาสู่การติดมัลแวร์ดังกล่าว
แต่ในลำดับถัดไปนี้เป็นวิธีการที่น่าสนใจคือ มัลแวร์จะทำการถอดรหัสตัวไฟล์มัลแวร์ (Payload) ที่แฝงอยู่ภายในคอมเมนต์ที่ดูไม่มีพิษมีภัยบนโพสต์ที่อยู่ภายในโปรไฟล์ผู้ใช้งานแพลตฟอร์ม Steam แพลตฟอร์มขายวิดีโอเกมสุดฮิตของเกมเมอร์ ซึ่งคอมเมนต์เหล่านั้นแท้จริงแล้วภายในมีการบรรจุสคริปท์ในรูปแบบอักขระ Unicode ที่ไม่สามารถมองเห็นได้ โดยเมื่อทำการถอดรหัสออกมาแล้ว ก็จะกลายเป็น URL สำหรับการชี้เป้า (Pointing) ไปยังสคริปท์แบบ JavaScript ของมัลแวร์ที่ฝังตัวอยู่ภายในไลบรารี (Library) ตัวหนึ่งที่แอบแฝงตัวอยู่บนเว็บไซต์ของเหยื่อหลังการติดมัลแวร์ในชั้นแรก โดยสคริปท์นี้จะทำหน้าที่การยิง (Injection) มัลแวร์ประเภทเปิดประตูหลังของระบบ (Backdoor) ลงไปยังเว็บไซต์ของเหยื่อ ซึ่งมัลแวร์ตัวนี้จะตอบสนองต่อคำขอแบบ POST Requests ที่เกี่ยวข้องกับไฟล์ Cookies สำหรับการยืนยันตัวตน (Authentication) จนทำให้มัลแวร์สามารถรับ PHP Code ที่ถูกเข้ารหัสบนพื้นฐานของ Base64 ได้ นอกจากนั้นทางทีมวิจัยยังพบว่า มัลแวร์ยังได้มีการใช้กลยุทธ์ในการหลบหลีกระบบป้องกัน ด้วยการใช้ค่าสตริง (String) มั่ว ๆ เพื่อตีรวนระบบป้องกัน (Obfuscation) และการตั้งชื่อฟังก์ชันต่าง ๆ แบบสุ่ม อีกด้วย
สำหรับผู้ดูแลเว็บไซต์ (Website Administrator) สามารถทำการป้องกันเว็บไซต์ได้ ด้วยการตรวจสอบหาค่า URL ที่เกี่ยวข้องกับ Steam Community, JavaScript ที่น่าสงสัยที่ถูกยิงมาบนเว็บไซต์, และการติดต่อสู่ภายนอก (Outbound Connection) ที่เชื่อมต่อไปยังโดเมน hello-mywordl[.]info ซึ่งถ้าตรวจพบ ทางทีมวิจัยได้แนะนำให้ทำการกู้เว็บไซต์ด้วยการใช้ข้อมูลสำรอง (Backup) ชุดล่าสุดที่ยังคงมีความปลอดภัยอยู่ในทันที
จากประสบการณ์ส่วนตัวที่ดูแลเว็บไซต์ WordPress มา กรณีมัลแวร์ที่ฝังตัวผ่านคอมเมนต์ในแพลตฟอร์มต่าง ๆ ถือเป็นปัญหาที่ท้าทายมาก เพราะโค้ดอันตรายอาจถูกซ่อนในจุดที่ดูปกติ เช่น คอมเมนต์ที่แทบไม่มีใครสงสัย สำหรับเคสการใช้คอมเมนต์ Steam เป็นช่องทางแพร่มัลแวร์นี้ ถือว่าน่าสนใจและเป็นเทคนิคใหม่ที่ผมไม่เคยเจอมาก่อน ทำให้เห็นว่าผู้โจมตีใช้ความคิดสร้างสรรค์สูงมากในการลอบฝังโค้ดโดยไม่สะดุดสายตาผู้ดูแลหรือระบบป้องกัน การถอดรหัส payload ที่ใช้ Unicode ซ่อนตัวอยู่ในคอมเมนต์ บ่งบอกถึงการใช้วิธี obfuscation ที่ซับซ้อน เพื่อให้มัลแวร์เลี่ยงการถูกตรวจจับ ซึ่งตรงนี้ผมแนะนำให้ผู้ดูแลเว็บไซต์ต้องใช้เครื่องมือสแกนมัลแวร์ที่อัพเดตล่าสุด และเฝ้าระวัง scripts ที่โหลดมาจาก URL แปลก ๆ โดยเฉพาะที่เชื่อมโยงกับโดเมนที่น่าสงสัย เช่น hello-mywordl[.]info ที่ถูกระบุในรายงานนี้ นอกจากนี้ การโจมตีอาจเริ่มจากธีมหรือปลั๊กอินที่มาจากแหล่งไม่น่าเชื่อถือ รวมถึงการรั่วไหลของรหัสผ่านทำให้แฮกเกอร์เข้าถึงระบบเช่นกัน ดังนั้นการเลือกติดตั้งธีมและปลั๊กอินจากแหล่งที่น่าเชื่อถือ การตั้งรหัสผ่านที่แข็งแกร่ง และการเปิดใช้งานระบบยืนยันตัวตนสองชั้น (2FA) เป็นสิ่งจำเป็นสุดสุด สุดท้าย ผมอยากแนะนำว่า การมีข้อมูลสำรองเว็บไซต์ที่อัปเดตสม่ำเสมอ และทดสอบกู้คืนข้อมูลเป็นเรื่องสำคัญมาก เผื่อเกิดมัลแวร์โจมตีจริง ๆ จะได้กลับคืนระบบได้ทันทีโดยไม่เสียหายมาก หากเจอปัญหาแบบนี้ การอัปเดต WordPress และปลั๊กอินอยู่เสมอ ควบคู่กับการใช้เครื่องมือสแกนและป้องกันมัลแวร์จะช่วยลดความเสี่ยงได้มาก หวังว่าข้อมูลและคำแนะนำนี้จะช่วยให้ผู้ดูแลเว็บไซต์ WordPress ทุกท่านเข้าใจและเตรียมตัวรับมือกับภัยคุกคามมัลแวร์ใหม่ ๆ ที่ซับซ้อนขึ้นได้ดียิ่งขึ้นครับ
