ব্যপক জনপ্রিয়তায়, ওয়ার্ডপ্রেস প্রায়শই ইন্টারনেটের ওপর ম্যালিশিয়াস হ্যাকিং ক্যাম্পেনের শিকার হয়। এই ক্যাম্পেনগুলো হ্যাকার উদ্দেশ্য, অBFUSCATION ব্যবহার ইত্যাদি ফ্যাক্টরগুলোর ভিত্তিতে একে অপর থেকে ভিন্ন হতে পারে। যেতবু, একটি জিনিস সবগুলোর মধ্যে সাধারণ যে হ্যাক করা ওয়ার্ডপ্রেস সাইট সব ধরনের ম্যালিশিয়াস উদ্দেশ্যের জন্য মিডিয়াম হিসেবে ব্যবহার করা হয়।
ম্যালওয়্যার সংক্রমণের এক ধরন হলো .Bt ওয়ার্ডপ্রেস হ্যাক। এটিকে এভাবে নাম করা হয়েছে কারণ এই ধরনের সংক্রমণ আপনার ওয়ার্ডপ্রেস সাইটে রুট ডিরেক্টরির অধীনে বা "wp-admin" বা "wp-admin/css" ডিরেক্টরিতে .bt এক্সটেনশন والے ফাইল তৈরি করে।
এখানে আপনি হ্যাকের কারণ, লক্ষণ, ডিটেকশন, এবং রিমুভাল পাবেন। আরও, আমরা ম্যালওয়্যারটির কাজকর্ম ভাঙতে করব আপনার আরও ভালো বোঝার জন্য। তাই,
.Bt ওয়ার্ডপ্রেস হ্যাকের সাধারণ কারণ
".Bt ওয়ার্ডপ্রেস হ্যাক"-এর কিছু সাধারণ কারণ:
- পুরনো এবং অখ্যাত প্লাগইন।
- বাগি থিম।
- পুরনো PHP ভার্সন।
- দুর্বল পাসওয়ার্ড।
- সার্ভার মিসকনফিগারেশন।
.Bt ওয়ার্ডপ্রেস ম্যালওয়্যারের কোড অ্যানালিসিস
এই সংক্রমণের প্রথম নিশ্চিতকরণ হলো .bt ফাইল যেটি IP অ্যাড্রেসের একটি তালিকা ধারণ করে। আপনি যদি এই ফাইলটি ডিলিট করেন, এটি রিজেনারেট হবে কারণ সংক্রমণ .bt ফাইলে থাকে না। সংক্রমণ সাধারণত ওয়ার্ডপ্রেস ফাইলগুলোর মধ্যে থাকে যেন:
- wp-load.php
- wp-settings.php
- /wp-content/themes/<some theme>/functions.php
- /wp-includes/functions.php
এই ফাইলগুলোর ম্যালিশিয়াস কোড অBFUSCATED থাকে এবং এরকম দেখায়:
ধাপ ১: ম্যালওয়্যার ডাউনলোড করা
.Bt ওয়ার্ডপ্রেস হ্যাকে, ম্যালিশিয়াল পেলোড সার্ভারে থাকে না বরং এক্সটার্নাল সোর্স থেকে ডাউনলোড করা হয়। এটি সম্পন্ন করতে, এই ম্যালওয়্যার প্রথমে চেক করে যে PHP-এর "allow_url_fopen" র্যাপার উপলব্ধ কিনা। যদি উপলব্ধ না থাকে, ম্যালওয়্যার PHP-এর cURL লাইব্রেরি ব্যবহার করে आगे বড়ে "get_data_ya()" নামে একটি ফাংশন দিয়ে ম্যালওয়্যার ডাউনলোড করে। যে URL থেকে ম্যালিশিয়াল ফাইল ডাউনলোড করা হয়েছিল সেটি hxxp://lmlink1[.]top/lnk/inj[.]php।
ধাপ ২: ম্যালওয়্যার অBFUSCATE করা
তারপর, ডাউনলোড করা ডেটা একটি সিম্পল XOR এনক্রিপশন ব্যবহার করে অBFUSCATE করা হয়। এটি "wp_cd()" নামে ম্যালওয়্যারের ফাংশনে করা হয় যা ডেটা এবং কী ইনপুট প্যারামিটার হিসেবে নেয় এবং আউটপুট হিসেবে XOR এনক্রিপ্টেড ডেটা রিটার্ন করে।
ধাপ ৩: ম্যালওয়্যার লিখা
এনক্রিপ্টেড পেলোড রেডি হলে, ম্যালওয়্যার রাইটযোগ্য সাব-ডিরেক্টরি খুঁজে বের করে। যদি এমন কোনো ডিরেক্টরি না পাওয়া যায়, এটি বর্তমান ডিরেক্টরিতে লিখতে চেষ্টা করে।
ডাউনলোড করা ম্যালিশিয়াল পেলোড যা ডিক্রিপ্টেড অবস্থায় দেখায় এরকম:
এখানে লক্ষ্য করার বিষয় হলো পেলোডে ওপেনিং এবং ক্লোজিং PHP ট্যাগ থাকে না যা পরে সাব-ডিরেক্টরিতে লিখতে время যোগ করা হয়।
ধাপ ৪: পেলোড এক্সিকিউট করা
পেলোড সফলভাবে একটি সাব-ডিরেক্টরিতে লিখলে, এটি PHP-এর include() স্টেটমেন্ট ব্যবহার করে এক্সিকিউট করা হয়। এই পেলোডটি .bt ফাইলগুলো তৈরি করে যেগুলো সার্চ ইঞ্জিন বটদের IP অ্যাড্রেস ধারণ করে। পেলোডটি ফার্মা স্প্যাম সার্ভ করার জন্যও ব্যবহার করা হয় जैसा নিচের কোডে দেখা যাচ্ছে।
.bt ফাইলগুলো সম্ভবত সার্চ ইঞ্জিন বটদের স্প্যাম সার্ভ না করার জন্য এবং তাই সাইট ব্ল্যাকলিস্ট হওয়া থেকে বাঁচাতে ব্যবহার করা হয়। পেলোডটি তৈরি করা ম্যালিশিয়াল কমান্ডও গ্রহণ করে যেগুলো সংক্রমিত ওয়ার্ডপ্রেস সাইটে এক্সিকিউট করা হয়।
ধাপ ৫: পেলোড ডিলিট করা
শেষে, যখন ম্যালিশিয়াল কাজটি শেষ হয়, ম্যালওয়্যার PHP-এর unlink() ফাংশন ব্যবহার করে ফাইলগুলো ডিলিট করে যেকোনো ধরনের সন্দেহ এড়াতে। তাই, এই ম্যালওয়্যার дълго সময় আন্ডার দ্য রাডার থাকে কারণ এটি ম্যালিশিয়াল পেলোড স্টোর করে না বরং ডাউনলোড করে, ব্যবহার করে এবং কাজ শেষ হলে ডিলিট করে দেয়।
আপনি কীভাবে .bt ম্যালওয়্যার শনাক্ত ও পরিষ্কার করতে পারেন?
পদ্ধতি ১: .bt বা .r এক্সটেনশন 가진 ফাইল চেক করুন
এইরকম একটি হিউরিস্টিক টেস্ট হিসেবে, আপনি চেক করতে পারেন আপনার সার্ভারে ".bt" বা ".r" এক্সটেনশন 가진 যেকোনো ফাইল আছে কিনা। আপনার ফাইল ম্যানেজার ব্যবহার করে সার্চ করুন।
বিকল্পভাবে, আপনার সার্ভারে SSH দিয়ে লগইন করুন এবং সিম্পলি কমান্ডটি রান করুন:
find . -name '*.bt' -print
.Bt ওয়ার্ডপ্রেস হ্যাক আরও নিশ্চিত করতে, ওয়ার্ডপ্রেস ফাইলগুলোর ভিতরে ম্যালিশিয়াল কোড সার্চ করুন। SSH কনসোলে, কমান্ডটি রান করুন:
find . -name "*.php" -exec grep " $ea = '_shaesx_'; $ay = 'get_data_ya'; $ae = 'decode';"'{}'; -print &> list.txt
এই কমান্ড আউটপুটটি list.txt ফাইলে সংরক্ষণ করবে। যেটি এই ম্যালওয়্যার ধারণ করে সেটি খুলুন এবং ম্যালিশিয়াল কোড সরান। আপনি যদি অনিশ্চিত হন কী ম্যালিশিয়াল কোড এবং কী আসল ফাইল কোড, এই লিংক ভিজিট করুন শুধু ম্যালিশিয়াল কোড দেখতে এবং সেই অনুযায়ী সরান। আপনি যদি এখনও অনিশ্চিত হন, সংশয়জনক কোড কমেন্ট আউট করুন এবং সাহায্য পান।
পদ্ধতি ২: কোর ফাইল ইন্টিগ্রিটি চেক করুন
আন্য একটি পদ্ধতি হলো কোর ফাইল ইন্টিগ্রিটি চেক করা। এটি করার জন্য, আপনার ওয়েব সার্ভারে SSH দিয়ে লগইন করুন এবং তারপর:
ধাপ ১: একটি নতুন ডিরেক্টরি তৈরি করুন ওয়ার্ডপ্রেসের একটি ফ্রেশ কপি ডাউনলোড করার জন্য এবং সেটিতে নেভিগেট করুন কমান্ডগুলো ব্যবহার করে:
$ mkdir WordPress
$ cd WordPress
ধাপ ২: লেটেস্ট ভার্সন অফ ওয়ার্ডপ্রেস ডাউনলোড এবং এক্সট্র্যাক্ট করুন কমান্ডগুলো ব্যবহার করে:
$ wget https://github.com/WordPress/WordPress/archive/<latest version>.tar.gz
$ tar -zxvf <latest version>.tar.gz
এখানে <latest version>-কে লেটেস্ট ওয়ার্ডপ্রেস ভার্সন দিয়ে রিপ্লেস করুন অর্থাৎ https://github.com/WordPress/WordPress/archive/5.3.tar.gz
ধাপ ৩: এখন diff কমান্ড ব্যবহার করে ফাইলগুলো তুলনা করুন যেকোনো সংশয়জনক কোড আবিষ্কার করতে।
$ diff -r path/to/your/file/wp-load.php /Wordpress/wp-load.php.
ধাপ ৪: আপনি যদি যেকোনো ম্যালিশিয়াল কোড পান, তা সরান বা সরাতে সাহায্য পান।
আস্ট্রা সাহায্য করার জন্য এখানে!
আস্ট্রা সিকিউরিটি একটি সাশ্রয়ী সিকিউরিটি সমাধান অফার করে যা .bt ওয়ার্ডপ্রেস হ্যাক শনাক্ত করে এবং তার ওয়েবসাইট প্রোটেকশন সমাধান দিয়ে রোধ করে।
প্রশ্ন আছে? কমেন্ট বক্সে বা একটি সিকিউরিটি এক্সপার্টের সাথে চ্যাট করে সরাসরি আমাদের কাছে জিজ্ঞাসা করুন। আমরা রিপ্লাই করার প্রতিশ্রুতি দিই 🙂
