มีการ upload แฟ้ม และพบว่าแฟ้มมี signature อันตราย
13 มี.ค.53 พบปัญหาจึงมีขั้นตอนการดำเนินการที่แบ่งกิจกรรมเป็น 3 ส่วนที่สำคัญคือ ที่มาของปัญหา การตรวจสอบ และการดำเนินการแก้ไข รายละเอียดมีดังนี้ 1) ผู้ใหญ่ท่านหนึ่งโทรศัพท์แจ้งว่าผลสืบค้นเว็บไซต์ขององค์กร พบคำว่า “ไซต์นี้อาจเป็นอันตรายต่อคอมพิวเตอร์ของคุณ” เมื่อค้นด้วย url ของเว็บไซต์กับ google.com ก็พบว่ามี 2 ไซต์ในเครื่องบริการเดียวกันติดโผปัญหานี้จริง 2) ใช้ FTP เข้าไปตรวจแฟ้มจากที่บ้าน ซึ่งเครื่องบริการใช้ code ของ wordpress กับทั้ง 2 ไซต์ พบว่ามี script ประเภท badware อยู่จริง โดยแฟ้มถูกปรับปรุงจากผู้พัฒนาเว็บไซต์เมื่อเวลา 12.30น. (วันนี้เอง) จึง download code มาแก้ไขด้วยการลบ script บรรทัดปัญหาออกไปไม่กี่แฟ้ม แล้ว upload เข้าไปทับแฟ้มเดิมใหม่ ซึ่งเชื่อว่าไม่กระทบในทางลบจึงดำเนินการโดยไม่แจ้งผู้พัฒนาเว็บไซต์ 3) ผลการทดสอบ view source ยังพบบรรทัดปัญหาที่เป็นผลการทำงานของ badware อยู่ที่นั่นเช่นเดิม การ scan เข้าไปในระบบทั้งหมดจากที่บ้านอาจไม่สะดวกเรื่องความเร็วในการประมวลผล จึงเดินทางไปที่องค์กรแล้วแก้ปัญหาหน้าเครื่องด้วยการ scan แฟ้มทั้งหมด พบว่า signature ของไวรัสหรือ badware อยู่ 4 แบบ คือ eval, doc.write ด้วย javascript 2 แบบ และ script ที่พบในครั้งแรก 4) ใช้ file search ของ windows ร่วมกับ replace แบบ multi-line ของ editplus ในการ scan แล้วสั่งลบ signature ออกจากแฟ้มทั้งหมด ซึ่งพบว่ากว่า 200 แฟ้มนั้นมีเวลาถูกแก้ไขในเวลาประมาณ 12.30 -12.55น. ซึ่งตรงกับเวลาที่ผู้พัฒนาเว็บไซต์ส่งแฟ้มเข้าไปในระบบ แสดงเวลา upload ชัดเจนใน log ของ FTP Server มีประเด็นที่น่าสงสัยคือทำไมผลไปแสดงใน google.com เร็วมาก และถูกตรวจพบในเวลาที่รวดเร็ว รวมไม่ถึง 3 ชั่วโมงเท่านั้น .. จึงสงสัยว่า code มีปัญหามาก่อน 12.30น. หรือไม่ 5) ผลการแก้ไขทำให้ signature ของไวรัสถูกลบออกไปทั้งหมด เนื่องจากคาดว่า server ไม่ได้ติดไวรัสโดยตรง แต่คาดว่าเครื่องของผู้พัฒนาเว็บไซต์อาจติดไวรัส แล้วส่งแฟ้มที่ถูกแก้ไขเข้าเครื่องบริการ ที่สงสัยเช่นนั้นเพราะผู้เขียนใช้ ftp เชื่อมต่อเข้าระบบ ทำการดาวน์โหลดและอัพโหลด แต่ไม่เกิดผลต่อแฟ้มที่ดำเนินการ เมื่อแก้ไขแล้วก็ยังไม่พบไวรัสทำงานอีกครั้ง .. สรุปว่ารอดูอาการต่อไปเพื่อพิสูจน์ข้อสงสัย 6) ดำเนินการกับ google.com ด้วยการเข้าไปในส่วนของ webmaster tools แล้ว verify เว็บไซต์ทั้ง 2 แบบ download file แทนแก้ code เพราะสะดวกที่จะดำเนินการกับ wordpress ที่อาจมีการแก้ไขแฟ้ม index.php ในภายหลัง 7) เลือก ขอรับการตรวจสอบ จากระบบของ webmaster tools ใน google.com เนื่องจากดำเนินการแก้ไขปัญหาหรือต้นเหตุของ badware หรือ malware ทั้งหมดแล้ว .. เพราะแก้ไขแล้วจริง ๆ และคาดว่าทางผู้พัฒนาเว็บไซต์จะตรวจสอบตนเองพบ และไม่ส่งแฟ้มที่มีปัญหามาเผยแพร่ในเว็บไซต์ขององค์กรอีก เพื่อความแน่นอนในต้นเหตุของปัญหาจึงต้องตรวจสอบกับทีมผู้พัฒนาเว็บไซต์ในองค์กรว่าไม่มีใครมีไวรัสไว้ในครอบครองหรือไม่ .. สรุปว่าขณะนี้อยู่ระหว่างรอด google.com ตรวจสอบ
8) หลังแจ้งให้ google.com ดำเนินการยกเลิกการ block ในเวลาประมาณ 22.00 น. พบว่ามีการแก้ไขแล้วเมื่อเวลา 8.00น. ของวันรุ่งขึ้น สรุปว่าการดำเนินการครั้งนี้สำเร็จ และต้องเฝ้าดู (monitor) ต่อไปว่าจะไม่เกิดเหตุแบบนี้ขึ้นอีก
รวมภาพแสดงการทำงาน แก้ปัญหา virus ใน script
+ http://www.google.com/webmasters/tools/dashboard?hl=th
+ http://www.google.co.th/search?q=ayume.eu
+ http://www.google.co.th/search?q=cartoon.co.th
