แฮกเกอร์หัวหมอ ซ่อนโค้ดลับใน Steam เพื่อฝังมัลแวร์ใน WordPress กว่า 2,000 เว็บ

นักวิจัยด้านความปลอดภัยจาก GoDaddy ตรวจพบการแพร่ระบาดครั้งใหญ่ของแคมเปญมัลแวร์ที่บุกรุกเว็บไซต์ WordPress เกือบ 2,000 แห่ง ผู้โจมตีได้ใช้แพลตฟอร์มเกมชื่อดังอย่าง Steam เป็นเครื่องมือพรางตัว ทำให้แฮกเกอร์ไม่จำเป็นต้องสร้างเซิร์ฟเวอร์ command-and-control (C2) ของตัวเอง ซึ่งช่วยให้รอดพ้นจากการตรวจจับของระบบรักษาความปลอดภัยทั่วไปได้อย่างแนบเนียน

แม้จะยังไม่มีข้อสรุปที่แน่ชัดว่าแฮกเกอร์สามารถเจาะระบบเว็บไซต์ได้อย่างไร แต่นักวิจัยประเมินว่าอาจเกิดจากหลายปัจจัย เช่น การถูกขโมยบัญชีผู้ดูแลระบบ, ข้อมูล FTP/SFTP รั่วไหล, การถูกโจมตีผ่านช่องโหว่ของธีมและปลั๊กอิน หรืออาจเป็นลักษณะการโจมตีแบบ Supply Chain Attack

ความน่ากังวลของเหตุการณ์นี้

แคมเปญนี้ถูกค้นพบครั้งแรกในเดือนกรกฎาคม 2025 โดยวิศวกรด้านความปลอดภัยของ GoDaddy พบมัลแวร์ที่ฝังตัวในเว็บไซต์ WordPress ประมาณ 1,980 แห่ง

จุดที่น่ากังวลคือ แฮกเกอร์ไม่ได้ใช้เซิร์ฟเวอร์ของตัวเองในการส่งคำสั่ง แต่ไปซ่อน Payload ไว้ในคอมเมนต์บน Steam เทคนิคที่ใช้คือการฝัง Invisible Unicode characters ซ่อนไว้ใต้ข้อความที่ดูเหมือนคอมเมนต์ทั่วไป เมื่อมีผู้ใช้งานเข้าหน้าเว็บ WordPress มัลแวร์จะวิ่งไปดึงข้อมูลรหัสลับจาก Steam มาประมวลผลทันที นอกจากนี้ มัลแวร์ดังกล่าวยังพรางตัวโดยใช้ชื่อไฟล์เลียนแบบชุดคำสั่ง JavaScript มาตรฐาน เพื่อหลีกเลี่ยงการตรวจจับและไม่ให้ผู้ดูแลระบบเกิดความสงสัย

อีกทั้งแฮกเกอร์ยังได้ติดตั้ง Backdoor ทิ้งไว้ในระบบ โดยจะคอยตอบรับคำขอประเภท POST Request ที่แนบคุกกี้และรหัสลับเฉพาะ ส่งผลให้ผู้โจมตีสามารถส่งโค้ด PHP เข้ามาควบคุมและสั่งการเว็บไซต์จากระยะไกลได้ตลอดเวลา

การป้องกันและแก้ไขปัญหา

ผู้ดูแลเว็บไซต์สามารถตรวจสอบความผิดปกติในเบื้องต้นได้จากการเช็กประวัติการเชื่อมต่อขาออก ไปยัง Steam หรือโดเมนแปลกปลอม รวมถึงหมั่นตรวจสอบประวัติคำขอที่น่าสงสัย

ซึ่งหากพบว่าเว็บไซต์ถูกฝังมัลแวร์แล้ว วิธีการจัดการที่มีประสิทธิภาพที่สุดคือการกู้คืนระบบจากไฟล์สำรองข้อมูล (Backup) ที่ปลอดภัย เนื่องจากกระบวนการ Manual Cleaning อาจทำความสะอาดได้ไม่ทั่วถึง และหากยังมีช่องทาง Backdoor ตกค้างอยู่ในระบบ ก็อาจเปิดโอกาสให้แฮกเกอร์สามารถกลับมาเข้าควบคุมระบบซ้ำได้ในทันที

บทสรุปของกรณีศึกษานี้สะท้อนให้เห็นว่า ภัยคุกคามทางไซเบอร์ไม่ได้จำกัดอยู่เพียงแค่การโจมตีทางตรงอีกต่อไป แต่เป็นการนำเครื่องมือและแพลตฟอร์มสาธารณะที่น่าเชื่อถือมาใช้เป็นเครื่องมือเพื่อแสวงหาผลประโยชน์โดยทุจริต ดังนั้นการตระหนักรู้ หมั่นตรวจสอบความผิดปกติของระบบ รวมถึงการอัปเดตซอฟต์แวร์ให้เป็นปัจจุบันและมีมาตรการสำรองข้อมูลที่รัดกุม จึงเป็นเกราะป้องกันสำคัญที่จะช่วยให้เว็บไซต์และข้อมูลสำคัญปลอดภัยจากภัยคุกคามทางไซเบอร์ได้