Mối đe dọa tiềm ẩn từ các tiện ích mở rộng WordPress

Một cuộc tấn công an ninh mạng quy mô lớn vừa được phát hiện nhắm vào hệ sinh thái WordPress, nền tảng quản trị nội dung (CMS - hệ thống giúp tạo và quản lý website mà không cần biết quá nhiều về lập trình) phổ biến nhất thế giới. Hàng chục plugin (các phần mềm nhỏ cài thêm để mở rộng tính năng cho website) đã bị gỡ bỏ khỏi kho lưu trữ chính thức sau khi các chuyên gia phát hiện ra một backdoor (cửa sau - một lối đi bí mật cho phép kẻ tấn công truy cập hệ thống mà không cần xác thực).

Những 'cửa sau' này được thiết kế để đẩy mã độc đến bất kỳ website nào đang sử dụng các plugin bị ảnh hưởng. Điều đáng lo ngại là cuộc tấn công này không đến từ một lỗ hổng kỹ thuật ngẫu nhiên, mà là một chiến lược có tính toán thông qua việc mua lại quyền sở hữu phần mềm.

Kịch bản tấn công: Khi chủ sở hữu mới là kẻ tấn công

Theo thông tin từ Austin Ginder, người sáng lập Anchor Hosting, đây là một ví dụ điển hình của tấn công chuỗi cung ứng (supply chain attack - hình thức tấn công bằng cách xâm nhập vào một mắt xích tin cậy trong quá trình sản xuất hoặc phân phối phần mềm).

"Kẻ tấn công không trực tiếp hack vào từng website, mà chúng mua lại toàn bộ công ty sản xuất plugin, sau đó cài mã độc vào bản cập nhật chính thức để phân phối đến hàng ngàn người dùng cùng lúc."

Cụ thể, một đối tượng đã mua lại Essential Plugin, một nhà phát triển plugin WordPress lớn. Sau khi nắm quyền kiểm soát, kẻ tấn công đã âm thầm chèn mã độc vào mã nguồn của các plugin. Đoạn mã này nằm im trong một thời gian dài để tránh bị phát hiện, và chỉ bắt đầu kích hoạt để phát tán mã độc vào đầu tháng này.

Quy mô thiệt hại và mức độ ảnh hưởng

Essential Plugin tuyên bố họ có hơn 400.000 lượt cài đặt và hơn 15.000 khách hàng. Tuy nhiên, theo dữ liệu từ trang cài đặt của WordPress, các plugin bị ảnh hưởng hiện đang hoạt động trên hơn 20.000 website.

Việc cài đặt plugin mang lại nhiều lợi ích nhưng cũng đi kèm rủi ro lớn:

  • Quyền truy cập sâu: Khi cài plugin, chủ website vô tình cấp quyền cho phần mềm đó truy cập vào cơ sở dữ liệu và tệp tin hệ thống.
  • Rủi ro từ cập nhật: Người dùng thường tin tưởng nhấn nút 'Cập nhật' mà không biết rằng mã nguồn bên trong đã bị thay đổi bởi một chủ sở hữu mới có ý đồ xấu.
  • Thiếu thông báo: Hiện tại, WordPress không thông báo cho người dùng khi một plugin thay đổi chủ sở hữu, tạo ra một lỗ hổng quản lý nghiêm trọng.

Bối cảnh lịch sử và xu hướng tấn công mới

Đây không phải là lần đầu tiên hiện tượng này xảy ra. Austin Ginder cảnh báo rằng đây là vụ đánh cắp quyền kiểm soát plugin thứ hai được phát hiện chỉ trong vòng hai tuần. Các chuyên gia bảo mật từ lâu đã cảnh báo về một xu hướng nguy hiểm: thâu tóm phần mềm để tấn công.

Thay vì tốn công tìm lỗ hổng bảo mật (exploit), kẻ tấn công chọn cách chi tiền mua lại các dự án phần mềm mã nguồn mở hoặc các plugin có lượng người dùng lớn. Điều này cho phép chúng biến một công cụ hữu ích thành một "con ngựa thành Troy" (một loại mã độc ngụy trang dưới dạng phần mềm hợp pháp) để xâm nhập vào hàng triệu máy tính trên toàn cầu một cách hợp pháp.

Hướng dẫn xử lý và dự báo tương lai

Hiện tại, các plugin độc hại đã bị gỡ bỏ khỏi thư mục của WordPress và được đánh dấu là "đóng vĩnh viễn". Tuy nhiên, điều này không có nghĩa là các website đã an toàn, vì những ai đã cài đặt plugin trước đó vẫn còn mã độc trong hệ thống.

Các bước khuyến nghị cho quản trị viên website:

  1. Kiểm tra danh sách: Đối chiếu các plugin đang cài đặt với danh sách các plugin bị ảnh hưởng từ Essential Plugin.
  2. Gỡ bỏ ngay lập tức: Xóa hoàn toàn các plugin độc hại khỏi hệ thống.
  3. Quét mã độc: Sử dụng các công cụ bảo mật để quét toàn bộ mã nguồn website nhằm tìm kiếm các tệp tin lạ được tạo ra bởi backdoor.
  4. Thay đổi mật khẩu: Cập nhật lại toàn bộ mật khẩu quản trị và khóa API để đảm bảo kẻ tấn công không còn quyền truy cập.

Trong tương lai, cộng đồng bảo mật kỳ vọng WordPress sẽ triển khai cơ chế thông báo thay đổi quyền sở hữu (ownership change notification). Điều này sẽ giúp người dùng cảnh giác hơn khi một plugin họ tin dùng đột ngột đổi chủ, từ đó giảm thiểu rủi ro từ các cuộc tấn công chuỗi cung ứng tinh vi.