podmiana treści strony (defacement)

Podmiana treści strony (defacement) to atak, w którym napastnik jawnie zastępuje wygląd lub treść witryny własnym komunikatem. MITRE ATT&CK opisuje tę technikę (T1491) jako modyfikowanie treści wizualnych dostępnych wewnątrz organizacji lub na zewnątrz, co narusza integralność oryginalnej treści ^[1]. CERT Polska podaje, że atakujący po przejęciu dostępu do strony umieszczają na niej plik z komunikatem o włamaniu albo zmieniają wygląd strony głównej ^[2]. W odróżnieniu od większości infekcji podmiana ma być zauważona.

Jak działa

Podmiana jest skutkiem, a nie metodą wejścia. Najpierw atakujący musi uzyskać możliwość zapisu treści: przez podatność w oprogramowaniu, przejęte hasło albo wcześniej zostawioną tylną furtkę. CERT Polska wskazuje, że podatności w systemach CMS i ich rozszerzeniach pozostają głównym wektorem infekcji stron ^[2]. Dopiero potem następuje zmiana treści, jak na schemacie poniżej.

RYS. 1Typowy przebieg podmiany strony

ATT&CK klasyfikuje podmianę w taktyce Impact (TA0040), czyli wśród działań, które bezpośrednio szkodzą ofierze ^[1]. Jako cele wymienia przekazanie komunikatu, zastraszenie albo przypisanie sobie włamania ^[1]. Treść bywa drastyczna lub obraźliwa, żeby wywołać dyskomfort odbiorców albo nacisk na spełnienie żądań ^[1].

Odmiany

ATT&CK dzieli technikę na dwie podtechniki ^[1]. CERT Polska opisuje podmianę obok innych objawów przejętej strony, które mają odwrotny cel: pozostać niewidoczne ^[2].

W WordPressie

W WordPressie treść strony leży w bazie danych, a wygląd w plikach motywu. Podmiana może więc dotyczyć wpisów i stron zmienionych przez panel lub API albo plików na serwerze. Dokumentacja WordPressa przy sprzątaniu po włamaniu każe zwrócić uwagę na pliki index.php, header.php, footer.php i plik funkcji motywu, bo ich modyfikacja wpływa na wszystkie żądania ^[5]. Jako jeden z najczęściej zmienianych plików wskazuje .htaccess ^[5].

Najbardziej znany przypadek masowej podmiany dotyczył samego rdzenia. W WordPressie 4.7.x przed wersją 4.7.2 funkcja rejestrująca trasy REST API nie wymagała identyfikatora liczbowego, co pozwalało zdalnemu atakującemu modyfikować dowolne strony żądaniem do wp-json/wp/v2/posts z identyfikatorem liczbowym i dopisanym ciągiem nieliczbowym ^[3]. Zespół WordPressa nazwał błąd nieuwierzytelnioną eskalacją uprawnień w endpoincie REST API ^[4].

POST /wp-json/wp/v2/posts/123?id=123abc HTTP/1.1
Host: example.com
Content-Type: application/json

Dokumentacja WordPressa wymienia wśród oznak włamania to, że zmianę widać po otwarciu strony w przeglądarce, a także nieautoryzowane działania, na przykład utworzenie nowych użytkowników ^[5]. Dlatego po podmianie warto sprawdzić, czy nie powstało nieautoryzowane konto administratora.

Zagrożenia i skutki

Podmiana uderza przede wszystkim w wizerunek właściciela: odwiedzający widzą komunikat napastnika zamiast treści. Dokumentacja WordPressa zwraca uwagę na możliwą utratę pieniędzy i reputacji marki ^[5]. Równie ważne jest to, czego nie widać. Skoro napastnik mógł zmienić treść, mógł też zostawić webshell albo inne pliki; dokumentacja ostrzega, że włamania często dodają nowe pliki, a nie tylko zmieniają istniejące ^[5]. Sama podmiana jest więc wskaźnikiem kompromitacji (IoC) całego serwisu, a nie drobną usterką treści.

Skutki wykraczają poza samą stronę. Dokumentacja WordPressa wśród oznak włamania wymienia wpis witryny na czarne listy wyszukiwarek, oznaczenie jej jako rozpowszechniającej złośliwe oprogramowanie, ostrzeżenia programów antywirusowych u odwiedzających oraz wyłączenie strony przez dostawcę hostingu ^[5]. Pierwszy z tych skutków opisuje hasło wpis na czarną listę (blacklisting). Dokumentacja zaleca też zapisanie od razu, co widać, kiedy to zauważono i jakie zmiany wprowadzano ostatnio na stronie, bo te notatki są podstawą raportu z incydentu ^[5].

Przy hostingu współdzielonym włamanie może dotyczyć więcej niż jednej strony; dokumentacja radzi to sprawdzić u dostawcy hostingu ^[5].

Jak się bronić

Zapobieganie to przede wszystkim aktualizacje i kontrola dostępu. CERT Polska zaleca regularne aktualizacje CMS, silne hasła do kont administracyjnych, kopie zapasowe (backup) i uwierzytelnianie dwuskładnikowe (2FA) w panelu ^[2]. ATT&CK jako środek zaradczy wskazuje plany odtwarzania z regularnymi kopiami zapasowymi ^[1], a do wykrywania monitorowanie nieautoryzowanych zmian plików, wstrzyknięć skryptów i nadużyć poświadczeń ^[1]; temu służy monitorowanie integralności plików.

Po wykryciu podmiany CERT Polska zaleca odizolowanie serwera, zabezpieczenie logów access.log i error.log, analizę żądań POST i nowych plików, odbudowę z kopii albo czystej instalacji oraz zgłoszenie incydentu ^[2]. Dokumentacja WordPressa dodaje reset haseł wszystkich użytkowników, wymianę kluczy w wp-config.php, co wylogowuje wszystkie sesje, ponowne wgranie katalogów wp-admin i wp-includes w tej samej wersji oraz ponowną zmianę haseł po oczyszczeniu ^[5]. Całość opisuje hasło czyszczenie przejętej strony.

Historia i przykłady

• 1 lipca 2012 roku Niebezpiecznik opisał podmianę strony piłkarza Roberta Lewandowskiego; grupa JurassicSec umieściła na niej kpiny z występu reprezentacji na EURO 2012 ^[6].
• 1 marca 2014 roku ten sam serwis opisał podmianę kilkunastu polskich stron przez grupę podpisaną jako ukraińscy „Anonimowi”, z komunikatem politycznym ^[7]. Takie działania wiążą się z pojęciami haktywista i dezinformacja.
• 26 stycznia 2017 roku wyszedł WordPress 4.7.2 z poprawką błędu REST API; Sucuri zgłosiło lukę 20 stycznia, a informację o niej ujawniono dopiero 1 lutego, gdy wydanie rozesłane przez automatyczne aktualizacje chroniło już miliony instalacji ^[4].