Недавно к нам обратился клиент с серьезной проблемой на своем сайте: все папки были заполнены подозрительными файлами типа wp-load.php и подобными. Это необычный подход для взлома, поскольку злоумышленники обычно изменяют файлы ядра и устанавливают фишинговые формы оплаты на странице оформления заказа. Однако в этот раз файлы ядра не были изменены, а сайт открывал только главную страницу. Были изменены файлы .htaccess и index.php, которые при удалении сразу же восстанавливались. Попытки отслеживания действий скриптов через shell не дали результатов, так как команды были скрыты, и задачи cron не были установлены.
После тщательного анализа мы обнаружили папку ybc_blog в директории cache. После ее удаления папка восстанавливалась автоматически. Вероятно, эта папка служила флагом для злоумышленника, и именно через данный модуль был произведен взлом. В ходе дальнейших исследований мы нашли запись CVE-2023-43979, в которой описывалась уязвимость модуля ybc_blog до версии 4.4.0.
Для получения более подробной информации об этой уязвимости вы можете перейти по ссылке: ybc_blog уязвимость SQL-инъекции.
CVE-2023-43979: Важные детали уязвимости
Уязвимость SQL-инъекции в модуле ybc_blog позволяет злоумышленникам получать доступ к базе данных и выполнять произвольные SQL-запросы. Это может привести к серьезным последствиям, включая кражу данных, изменение контента сайта и установку вредоносного кода. Из-за этой уязвимости хакеры могут получить полный контроль над вашим сайтом, а в некоторых случаях даже над сервером, на котором он размещен.
Решение проблемы
На сервере нашего клиента был найден архив со старой версией резервной копии. Было принято решение заново установить операционную систему, восстановить данные из резервной копии и исправить или удалить модуль ybc_blog.
Рекомендации для защиты сайта
Чтобы избежать подобных ситуаций, важно следовать нескольким ключевым рекомендациям:
-
Своевременное обновление: Всегда обновляйте все компоненты вашего сайта, включая модули и саму платформу PrestaShop. Новые версии содержат патчи и исправления, устраняющие известные уязвимости.
-
Установка только необходимых модулей: Не устанавливайте лишние модули. Каждый дополнительный модуль — это потенциальный путь для атаки.
-
Загрузка модулей из надежных источников: Используйте только официальные площадки или надежные источники для загрузки модулей. Избегайте сомнительных сайтов и предложений.
-
Регулярные резервные копии: Регулярно делайте резервные копии сайта и базы данных. Это позволит быстро восстановить сайт в случае атаки.
-
Проверка безопасности: Проводите периодические аудиты безопасности вашего сайта. Используйте сканеры уязвимостей и инструменты мониторинга для своевременного выявления проблем.
Если у вас установлен модуль ybc_blog, сообщите нам в комментариях, сталкивались ли вы с взломами или подозрительными действиями. Если эта тема интересна, мы можем написать дополнительные статьи о том, как загружаются вирусы и что нужно делать, чтобы защитить ваш сайт.
Если ваш сайт был взломан, не стесняйтесь обращаться к нам. Мы постараемся помочь вам в восстановлении вашего сайта и устранении уязвимостей. Поддержка и консультация специалистов помогут вам защитить ваш бизнес в цифровом пространстве.
