Компрометирани копия на плъгина Rank Math PRO, разпространявани през официалния сайт на разработчика, са съдържали зловреден код. Засегнати са изтегляния на версия 3.0.123 в рамките на около 11 часа. При активиране кодът е можел да осигури постоянен достъп до сайтовете и да изложи чувствителни данни.

Доставчикът на SEO плъгина Rank Math предупреди за атака по веригата на доставки, при която част от изтеглянията на платената версия Rank Math PRO са съдържали зловреден код. Компрометираните файлове са били достъпни между 15 октомври, 20:02 UTC, и 16 октомври, 07:12 UTC.

Според компанията проблемът засяга версия 3.0.123. След установяването му тя е премахнала засегнатите файлове и е публикувала чиста версия 3.0.124. Безплатният плъгин Rank Math SEO, разпространяван чрез WordPress.org, не е засегнат.

Rank Math PRO подпомага оптимизацията за търсачки на WordPress сайтове. Рискът в случая произтича от факта, че зловредният код е попаднал в пакет, изтеглен от официалния източник, което затруднява разграничаването му от легитимна актуализация.

Задни врати и риск за чувствителни данни

По информация на Rank Math зловредният код осигурява устойчив достъп и комуникира с домейна rank1cdn[.]com. Той може да възстановява скрити задни врати при посещение на заразения сайт.

Компрометирането може да изложи данни за връзка с базата данни, API ключове и други тайни, достъпни за уеб сървъра.

BleepingComputer откри и PHP файл със зловреден код в VirusTotal, наречен cache-preloader-fff033 (1).php. В него са открити индикатори, съвпадащи с тези, посочени в предупреждението на Rank Math и в анализа на Wordfence. Сред тях са специфичен XOR ключ, записи в WordPress базата данни, маркер за планирана задача и код за създаване на администраторски акаунти с префикс wpsupport_ и имейл адреси в домейна wp-mail.net.

Файлът изглежда е предназначен за първоначално внедряване на задната врата wp-includes/class-wp-cache-util.php. Анализът показва и възможности за изпълнение на команди, промяна на базата данни и кражба на облачни идентификационни данни, SSH ключове и друга чувствителна информация.

Изследователите обаче не са потвърдили дали този конкретен PHP файл е бил разпространяван именно чрез компрометирания плъгин. Съвпадението на индикаторите сочи връзка с атаката, но само по себе си не доказва начина на разпространение.

Какво трябва да направят администраторите

Сайтовете, на които версия 3.0.123 е била активирана в посочения период, трябва да се третират като потенциално компрометирани. Само деактивиране или актуализиране на плъгина не премахва вече инсталираните задни врати.

Rank Math препоръчва възстановяване на файловете и базата данни от надеждно, незасегнато резервно копие. Ако такова липсва, е необходимо ръчно почистване, включително:

• Премахване на цялата папка на плъгина и проверка на базата данни за злонамерени записи.
• Проверка за допълнителни задни врати, неоторизирани администраторски акаунти, променени файлове и подозрителни планирани задачи.
• Смяна на паролите, ключовете, токените и WordPress salt стойностите, които може да са били изложени.
• Проверка на облачните акаунти и други системи, до които уеб сървърът е имал достъп.
• Блокиране на изходящите връзки към rank1cdn[.]com.

Потребителите, които са изтеглили версия 3.0.123, но не са я активирали, трябва да я изтрият, да инсталират чистата версия 3.0.124 и да сканират сайта за признаци на компрометиране.

Случаят показва, че дори официалният канал за изтегляне на софтуер може временно да се превърне във вектор за атака. За администраторите на WordPress сайтове проверката на версиите, наблюдението на файловите промени и готовността за възстановяване от чисто резервно копие са ключови елементи от защитата.