Gần đây, Jam bị một vố cực lớn, đó là hàng loạt các website của bạn bè đều bị hack đúng theo một kiểu là chèn backlink vào chân bài viết, thay đổi tựa đề và chèn nội dung lạ vào nội dung gốc. Ngoài ra chúng còn chơi bài chuyển hướng truy cập trên điện thoại Android khi vào trong website. Đây là con virus lây lan lớn nhất từ trước tới nay mà mình biết !

website bị virus chèn backlink và thay đổi nội dung

Tôi tạm gọi đó là một con virus “Backlink hijacking” đi cho nó có tên. Công việc của con virus này như sau:

1. Đẻ ra một file để backup chính nó, khi các bạn xóa file virus đi thì chúng tự sinh ra tiếp do chúng bấu vào file Index.php và được đặt lịch tự động cron trong đâu đó, tôi chưa lần ra.
2. Tự động Chmod được file .htaccess và wp-config về 666, mặc dù bạn muốn nó về 444 để “chỉ đọc”
3. Tự động “hỏi” về server của nó để lấy dữ liệu quảng cáo dạng “real” con mẹ nhà tham !
4. Mã hóa toàn bộ dạng rất sơ sài, nhưng giải nén ra xem nó làm gì thì mệt thấy mồ, nó dùng đủ trò trống để encrypt bản thân để khỏi bị lộ và bị xóa
5. Chỉ hook vào hook “the_content” của WordPress là chủ yếu, chúng chui cả vào “the_title” để thay đổi tựa đề luôn
6. Mở sẵn một backdoor chờ lệnh chủ nhân

Tác dụng của con virus này tới website của bạn:

1. Làm chậm trang vì chúng encrypt sâu, giải mã mất tài nguyên của PHP
2. Chúng không chạm vào cơ sở dữ liệu của bạn, chỉ cần xóa được chúng đi là sẽ ngay lập tức hết lỗi tiếng anh tiếng em linh tinh trên trang
3. Chúng tự đẻ ra đoạn mã và chèn vào các file khác trong mã nguồn, làm cho bạn có xóa thì cũng sẽ bị lại sớm hay muộn
4. Làm xấu trang của bạn

Và, cách khắc phục xin mời các bạn xem bài viết khi website WordPress bị hack. Vấn đề này không phải do mã nguồn, mà do một trong các lý do sau đây:

1. Bạn dùng phiên bản WordPress cổ lỗ dĩ
2. Bạn quên không đặt mật khẩu khỏe, trong khi tên đăng nhập là “át min” thần thánh ! Tôi biết rất nhiều người có kiến thức tin học mà vẫn thích đặt như vậy, các bạn quá khinh thường hacker rồi đấy !
3. Bạn sử dụng plugin Null down trên các trang mạng, nên nhớ đếch ai cho không ai cái gì !
4. Bạn bị Local Attact ! Cái này thì chắc chắn cả cái server chứa hosting của bạn dính
5. Bạn làm lộ mật khẩu trang do khoe lên Face, do bị tấn công ăn cắp cookie trên trình duyệt
6. Do máy tính có virus làm lộ mật khẩu của bạn

Nói chung, vì lý do nào đi nữa, thì cũng là bị hack rồi. Cách tốt nhất là hãy backup ngay website của bạn càng sớm càng tốt để giảm thiểu thiệt hại, sau đó làm các phương pháp chống đỡ. Xóa hosting và cài mới toàn bộ là tốt nhất !

Bonus: Các trang gần đây bị tấn công hầu hết nằm trên hosting của Tenten, và đều sử dụng Visual Composer, có một trong các website đó bị nhiễm virus từ plugin Visual Composer chia sẻ trên mạng. Các bạn chú ý rà soát các plugin nếu cần thiết thì mua bản quyền đi !

Chúc các bạn thành công !