Некоторые загрузки плагина Rank Math PRO для WordPress с официального сайта поставщика содержали вредоносное ПО, которое на прошлой неделе установило скрытые бэкдоры в результате атаки на цепочку поставок.
По словам поставщика, ограниченное число пользователей, загрузивших версию 3.0.123 плагина в период с 15 октября в 20:02 по всемирному координированному времени до 16 октября в 07:12 по всемирному координированному времени, получили скомпрометированные версии, которые могли поставить под угрозу безопасность их веб-сайтов после активации.
«Затронутые файлы плагина содержали вредоносное ПО, которое могло поставить под угрозу ваш сайт, если бы плагин был активирован», — предупредила компания Rank Math.
«Мы немедленно удалили зараженные файлы и выпустили чистую версию Rank Math PRO v3.0.124».
Пользователи, которые установили и активировали троянизированную версию в течение этих 11 часов, должны считать свои сайты скомпрометированными и следовать инструкциям по очистке, приведенным в рекомендациях от разработчика.
Rank Math PRO — это плагин для поисковой оптимизации (SEO) WordPress, который помогает сайтам повысить видимость в результатах поиска. Это платная версия бесплатного варианта, который активен на более чем 4 миллионах веб-сайтов.
Конфиденциальные данные раскрыты
В рекомендации от поставщика подчеркивается, что скомпрометирована была только версия PRO, а бесплатная версия Rank Math SEO от WordPress.org не пострадала.
Rank Math сообщает, что вредоносное ПО обеспечивает постоянный доступ, взаимодействует с сайтом rank1cdn[.]com и создает скрытые бэкдоры, когда кто-то заходит на зараженный сайт.
Поставщик предупреждает, что пользователи, устанавливающие взломанную версию Rank Math PRO, раскрывают учетные данные базы данных, ключи API и другие секретные данные, доступные веб-серверу.
Изучая эту атаку, издание BleepingComputer обнаружило образец вредоносного PHP-кода на VirusTotal под названием «cache-preloader-fff033 (1).php«, который, по всей видимости, связан с взломом Rank Math.
Хотя этот файл не упоминался в рекомендациях Rank Math или Wordfence, BleepingComputer обнаружил, что он содержит те же индикаторы компрометации (IoC), что и предупреждение Rank Math:
- ключ xmmqhn’ обфускации XOR
- запись в базе данных WordPress ‘_np5pvf754c’
- маркер задания cron ‘#ms6v46’
- код для создания учетных записей администратора с использованием префикса имени пользователя ‘wpsupport_’ и адресов электронной почты ‘@wp-mail.net
Судя по всему, вредоносное ПО действует как скрипт первого этапа развертывания, который создает бэкдор wp-includes/class-wp-cache-util.php, упомянутый в рекомендациях Rank Math.
PHP-скрипт также позволяет выполнять команды, изменять базы данных WordPress и похищать учетные данные AWS, Cloudflare, Google Cloud, Azure, SSH-ключи и другую конфиденциальную информацию.
Хотя эти индикаторы компрометации указывают на то, что атака связана с тем же злоумышленником, что и атака Rank Math, BleepingComputer не смог подтвердить, распространялась ли она через скомпрометированный плагин.
Рекомендации по очистке
Администраторам сайтов, которые подозревают, что сайт взломан, следует восстановить файлы сайта и базу данных из чистой резервной копии, провести проверку безопасности и сменить все пароли, ключи и соли.
Для сайтов, у которых нет безопасной резервной копии для восстановления, Rank Math рекомендует провести очистку вручную, отмечая, что деактивация или обновление плагина после взлома не устранят угрозу.
Для очистки необходимо удалить всю папку с плагином и вредоносные записи в базе данных, а затем проверить наличие дополнительных бэкдоров, неавторизованных учетных записей администратора, измененных файлов, запланированных задач и возможных изменений за пределами WordPress.
Также рекомендуется заблокировать все исходящие подключения к домену rank1cdn[.]com злоумышленника.
Пользователи, которые установили плагин, но не активировали его, теперь должны удалить его, загрузить чистую версию 3.0.124, а затем просканировать свои сайты.
Редакция BleepingComputer связалась с Rank Math, чтобы узнать подробности о количестве потенциально затронутых сайтов и первоначальном векторе атаки, но к моменту публикации ответа не получила.
