Trou Mursch นักวิจัยด้านความมั่นคงปลอดภัยจากสหรัฐฯ ออกมาแจ้งเตือนถึงแคมเปญ Cryptojacking ซึ่งกำลังพุ่งเป้าเว็บไซต์ที่ใช้ Drupal CMS อยู่ในขณะนี้ โดยลอบฝัง In-browser Miner ผ่านช่องโหว่เพื่อหวังสร้างรายได้เมื่อมีผู้ใช้เข้าชมเว็บดังกล่าว แนะนำให้ผู้ดูแลเว็บไซต์รีบอัปเดตแพตช์โดยด่วน

Credit: Morrowind/ShutterStock.com

Mursch เปิดเผยว่า แคมเปญ Cryptojacking ที่กำลังแพร่ระบาดอยู่ในขณะนี้นั้น ใช้ช่องโหว่ที่เพิ่งค้นพบบน Drupal 2 รายการ คือ CVE-2018-7600 และ CVE-2018-7602 เพื่อลอบส่ง Backdoor และมัลแวร์ Cryptominer เข้าไปฝังไว้บนเว็บ เมื่อมีผู้ใช้เข้าถึงเว็บดังกล่าว ทรัพยากรเครื่องของผู้ใช้จะถูกนำไปขุดเหรียญเงินดิจิทัลเพื่อสร้างรายได้ให้แก่กลุ่มแฮ็กเกอร์ทันที

Cryptominer ที่กลุ่มแฮ็กเกอร์เลือกใช้ คือ Coinhive In-browser Cryptominer โดยแฝงมากับไฟล์ที่ชื่อว่า “jquery.once.js?v=1.2,” ซึ่ง Mursch ได้ทำการติดตามร่องรอยของไฟล์ดังกล่าวกว่า 100,000 โดเมน จนถึงตอนนี้ยืนยันแล้วว่ามีไม่น้อยกว่า 348 ไซต์ที่ตกเป็นเหยื่อของแคมเปญ Cryptojacking นี้

ก่อนหน้านี้ Imperva ผู้ให้บริการโซลูชัน Web Security ชั้นนำ ก็ได้ออกมาเปิดเผยถึงแคมเปญ Cryptojacking คล้ายๆ กันบนเว็บไซต์ที่ใช้ Drupal ชื่อว่า “Kitty” ซึ่งลอบแพร่กระจายมัลแวร์ Cryptominer ผ่านไฟล์ที่ชื่อว่า “me0w.js” แต่แทนที่จะใช้ Coinhive กลุ่มแฮ็กเกอร์กลับเลือกใช้บริการจาก webminerpool.com สำหรับขุดเหรียญเงิน Monero แทน

ช่องโหว่บน Drupal ทั้งสองรายการนี้ถูกค้นพบเป็นระยะเวลานานกว่า 2 เดือนแล้ว แนะนำให้ผู้ดูแลระบบเว็บรีบทำการอัปเดตแพตช์เพื่ออุดช่องโหว่โดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/drupal-sites-fall-victims-to-cryptojacking-campaigns/

CR:https://www.techtalkthai.com/348-drupal-sites-used-to-run-cryptojacking-campaign/