Malware WordPress là mã hoặc thành phần độc hại được đưa vào website WordPress để thực hiện những hành vi mà chủ website không cho phép. Tùy mục đích của kẻ tấn công, malware có thể chèn nội dung spam, chuyển hướng khách truy cập, thay đổi dữ liệu, tạo quyền truy cập trái phép hoặc duy trì khả năng kiểm soát website.
Một điểm dễ gây hiểu nhầm là malware WordPress không nhất thiết tồn tại dưới dạng một file có tên đáng ngờ. Mã độc có thể được chèn vào file PHP đang hoạt động, plugin, theme, database hoặc những thành phần khác của website. Vì vậy, “website bị nhiễm malware” nên được hiểu là tình trạng website đã có thay đổi độc hại hoặc trái phép, chứ không đơn giản là có một file virus cần xóa.
Malware WordPress có thể làm gì?
Hành vi cụ thể phụ thuộc vào loại malware và mục tiêu của cuộc xâm nhập. Một website bị nhiễm có thể xuất hiện nội dung hoặc liên kết không do quản trị viên tạo, tự chuyển hướng khách truy cập, sửa file hoặc dữ liệu, tạo tài khoản trái phép, chèn code vào frontend hoặc tạo URL spam.
Không phải website nhiễm malware nào cũng biểu hiện giống nhau. Có trường hợp frontend thay đổi rõ rệt, nhưng cũng có trường hợp website vẫn hoạt động gần như bình thường trong khi bên trong đã tồn tại những thay đổi trái phép.
Các dạng malware thường gặp trên website WordPress
“Malware WordPress” là khái niệm rộng. Trong một sự cố thực tế có thể xuất hiện nhiều thành phần với chức năng khác nhau.
Backdoor
Backdoor được sử dụng để tạo hoặc duy trì một con đường truy cập trái phép vào website. Việc xóa phần malware dễ nhìn thấy chưa chắc đã loại bỏ backdoor; nếu cơ chế truy cập này còn tồn tại, website có nguy cơ tiếp tục bị kiểm soát hoặc tái nhiễm. Chủ đề này được tách riêng trong bài Backdoor WordPress là gì?.
Web shell
Web shell là script phía máy chủ có thể cung cấp khả năng tương tác với web server sau khi được cài vào môi trường bị xâm nhập. Trong incident response, sự xuất hiện của web shell là dấu hiệu cần được đánh giá nghiêm túc vì phạm vi ảnh hưởng có thể vượt ra ngoài một trang spam đơn lẻ.
SEO spam malware
Loại malware này lợi dụng website để tạo hoặc hiển thị nội dung phục vụ spam tìm kiếm. Chủ website có thể phát hiện URL lạ, nội dung không liên quan, liên kết đáng ngờ hoặc kết quả tìm kiếm khác với nội dung mình đã xuất bản. Các biến thể và dấu hiệu cụ thể được trình bày tại SEO Spam Malware WordPress.
Malicious redirect
Malware có thể khiến người truy cập bị chuyển hướng sang một domain khác mà chủ website không thiết lập. Redirect đôi khi chỉ xuất hiện trong một số điều kiện nhất định, vì thế quản trị viên có thể truy cập bình thường trong khi một nhóm người dùng khác lại bị chuyển hướng.
Code injection
Kẻ tấn công không nhất thiết tạo file mới. Code độc hại có thể được chèn vào một file vốn hợp lệ của WordPress, plugin hoặc theme. Do đó, tên file bình thường không đủ để chứng minh nội dung bên trong file an toàn.
Malware trong database
Thành phần độc hại hoặc dữ liệu trái phép cũng có thể xuất hiện trong database thay vì filesystem. Ví dụ, database có thể chứa nội dung spam, code được chèn vào dữ liệu website hoặc những thay đổi không được quản trị viên thực hiện.
Malware WordPress thường xuất hiện ở đâu?
Không có một vị trí duy nhất dành cho malware. Tùy cuộc xâm nhập, dấu vết có thể liên quan đến WordPress core, plugin, theme, thư mục uploads, file cấu hình, database, tài khoản người dùng hoặc những thành phần khác có khả năng tác động đến website.
Danh sách này chỉ mô tả phạm vi cần lưu ý, không có nghĩa file hoặc thư mục nằm ở những vị trí đó mặc nhiên là độc hại. Điều cần xác định là website có những thay đổi nào không thuộc trạng thái hoặc quy trình vận hành hợp lệ.
Dấu hiệu nào cho thấy WordPress có thể bị nhiễm malware?
Một số dấu hiệu thường khiến chủ website bắt đầu nghi ngờ gồm website tự redirect, xuất hiện URL hoặc nội dung lạ, có tài khoản quản trị không rõ nguồn gốc, hosting hoặc trình duyệt phát cảnh báo, file thay đổi ngoài dự kiến hoặc website bị nhiễm trở lại sau khi vừa xử lý.
Một dấu hiệu riêng lẻ chưa đủ để xác định chính xác loại malware hoặc nguyên nhân xâm nhập. Nếu mục tiêu là kiểm tra website có đang bị compromise hay không, hãy đối chiếu checklist trong bài dấu hiệu website WordPress bị nhiễm malware.
Malware và backdoor có phải là một?
Không. Malware là thuật ngữ rộng dùng cho mã hoặc thành phần độc hại, còn backdoor mô tả cơ chế truy cập trái phép hoặc duy trì khả năng truy cập sau khi hệ thống đã bị xâm nhập.
Một website có thể đồng thời chứa nhiều thành phần. Chẳng hạn, một phần malware tạo SEO spam trong khi thành phần khác đóng vai trò backdoor. Vì vậy, xóa nội dung spam nhìn thấy được không đồng nghĩa mọi cơ chế truy cập trái phép đã biến mất.
Nếu nghi website có malware thì nên làm gì?
Trước tiên, tránh xóa hoặc chỉnh sửa hàng loạt file chỉ dựa trên tên file hoặc phỏng đoán. Nên ghi nhận các dấu hiệu đang quan sát được, thời điểm phát hiện, cảnh báo liên quan và những thay đổi bất thường. Khi phù hợp, cần bảo toàn dữ liệu hoặc snapshot phục vụ quá trình xác minh trước khi thực hiện thay đổi lớn.
Sau đó mới xác định phạm vi ảnh hưởng, thành phần bị thay đổi và hướng remediation phù hợp. Hướng dẫn từng bước thuộc search intent riêng và được đặt tại quy trình cleanup malware WordPress an toàn.
Malware WordPress không chỉ là “một file virus”
Điểm quan trọng nhất cần nhớ là malware WordPress có thể liên quan đến nhiều lớp khác nhau của website. Một file lạ có thể là dấu hiệu dễ nhìn thấy, nhưng bản thân nó chưa mô tả toàn bộ sự cố. Ngược lại, website vẫn hiển thị bình thường cũng không chứng minh rằng bên trong không có thay đổi trái phép.
Hiểu đúng malware là bước đầu để phân biệt các vấn đề tiếp theo: website đang có dấu hiệu gì, loại thành phần độc hại nào xuất hiện, phạm vi ảnh hưởng đến đâu và cần quy trình xử lý nào phù hợp.