Źródło: unsplash.com/photos/mwlpHlBgjU0
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Kopie Rank Math PRO, płatnej wersji popularnej wtyczki SEO dla WordPressa, zawierały złośliwe oprogramowanie. Według komunikatu Rank Math dotyczy to plików pobranych z rankmath.com albo dostarczonych jako aktualizacje między 20:02 UTC 15 października a 07:12 UTC 16 października. Każdą stronę, na której taki pakiet został zainstalowany i aktywowany, należy traktować jako przejętą. Malware może odtwarzać ukryty backdoor przy kolejnych odwiedzinach witryny.
Incydent obejmuje wyłącznie Rank Math PRO. Klienci pobierają i aktualizują tę wersję z serwisu rankmath.com, a nie z katalogu WordPress.org. Darmowa wtyczka Rank Math SEO, która ma ponad 4 miliony aktywnych instalacji i była ostatnio aktualizowana 6 października, nie została wskazana w komunikacie jako zagrożona. Sam numer wersji nie pozwala jednak rozstrzygnąć, czy konkretny pakiet PRO był złośliwy. Wersja 3.0.123 pojawia się w changelogu z datą 7 października, ale kopia pobrana przed początkiem wskazanego okna pozostaje poza zakresem incydentu.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Ukryty mechanizm zapewniający nieuprawniony dostęp do systemu lub urządzenia. Backdoor może umożliwiać zdalne wykonywanie poleceń, przesyłanie plików albo dalsze zarządzanie zainfekowanym środowiskiem.
System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa.
Z informacji Rank Math i ostrzeżenia Wordfence wynika, że malware mogło pozostawić elementy umożliwiające ponowne odtworzenie backdoora. Mogły to być pliki PHP w katalogach innych wtyczek lub motywów, nieautoryzowane konta administratorów, zmodyfikowany plik WordPressa, zmiany w konfiguracji serwera, zaplanowane zadania oraz klucze SSH. Zastąpienie Rank Math PRO czystym pakietem nie usuwa automatycznie takich zmian. Dlatego samo skasowanie podejrzanego pliku albo ponowna instalacja pluginu nie jest dowodem usunięcia infekcji.
Administratorzy powinni założyć, że wszystkie sekrety dostępne dla zainfekowanej strony mogły zostać ujawnione. Dotyczy to haseł WordPressa, danych do bazy, kluczy bezpieczeństwa, kluczy API, danych bramek płatniczych i poczty, dostępu do panelu hostingowego, FTP, SFTP oraz SSH, a także sekretów zapisanych w zmiennych środowiskowych. Patchstack sklasyfikował zdarzenie jako backdoora i wskazał, że reguła ochronna nie rozwiązuje problemu, ponieważ atak dotyczył systemów dostawcy wtyczki.
Preferowaną metodą odzyskiwania jest przywrócenie kopii zapasowej strony i bazy danych wykonanej przed 20:02 UTC 15 października. Po odtworzeniu należy przeprowadzić skan bezpieczeństwa, zmienić wszystkie hasła i dane dostępowe, a dopiero potem zainstalować wersję 3.0.124, pobierając ją bezpośrednio po zalogowaniu na rankmath.com. Sama kopia zapasowa nie zwalnia z rotacji poświadczeń, ponieważ dane mogły zostać odczytane przed przywróceniem serwisu.
Jeżeli nie ma pewnej, czystej kopii zapasowej, potrzebna jest uporządkowana ręczna analiza serwera albo pomoc dostawcy hostingu i specjalisty od reagowania na incydenty. Najpierw trzeba przerwać mechanizm, który może odtwarzać backdoora, a następnie sprawdzić pliki, konta, zadania i konfigurację pod kątem nieautoryzowanych zmian. Po oczyszczeniu warto wykonać skan oraz zweryfikować sumy kontrolne rdzenia WordPressa i wtyczek, o ile są dostępne. Dla płatnego Rank Math PRO nie ma obecnie sum kontrolnych publikowanych w WordPress.org, więc ich brak nie potwierdza, że strona jest czysta.
Rank Math informuje, że część klientów otrzymała wiadomość o incydencie, a osoby niepewne, czy zainstalowały lub aktywowały zainfekowane pliki, powinny skontaktować się ze wsparciem. Dostawca zaznacza też, że nie wysyła pocztą elektroniczną linków do logowania ani pobierania. Firma nie podała, czy złośliwe pakiety były rozsyłane przez automatyczne aktualizacje, nie opublikowała sum kontrolnych czystych i skażonych plików oraz nie wyjaśniła, jak malware trafiło do kanału pobierania. Incydent jest kolejnym w tym roku przykładem ryzyka związanego z aktualizacjami premium wtyczek WordPressa, po przypadkach dotyczących między innymi Smart Slider 3 Pro i produktów ShapedPlugin.
Brak komentarzy. Bądź pierwszy!