Angrepet mot Rank Math gjorde enkelte offisielle nedlastinger av den betalte WordPress-utvidelsen for SEO til en distribusjonskanal for skadevare. Ifølge leverandøren kunne berørte kopier av Rank Math PRO versjon 3.0.123 kompromittere nettsteder når administratorer aktiverte dem.
De skadelige nedlastingene var tilgjengelige mellom 15. oktober klokken 20.02 UTC og 16. oktober klokken 07.12 UTC. Rank Math fjernet deretter de berørte filene og lanserte den rene versjonen 3.0.124.
Installering av erstatningsversjonen fjerner imidlertid ikke en infeksjon som allerede har fått fotfeste. Administratorer som aktiverte en berørt kopi, bør betrakte nettstedene sine som kompromitterte.
Hendelsen påvirket PRO-nedlastinger i et tidsrom på 11 timer
Rank Math opplyste at hendelsen påvirket et begrenset antall brukere som lastet ned PRO versjon 3.0.123 i den angitte perioden. Selskapet har ikke oppgitt hvor mange nettsteder som potensielt er kompromittert.
Den gratis Rank Math SEO-utvidelsen som er tilgjengelig gjennom WordPress.org, ble ikke berørt. Selv om denne versjonen har mer enn fire millioner aktive installasjoner, sier ikke disse tallene noe om omfanget av angrepet.
Forskjellen er viktig fordi de skadelige filene ble distribuert gjennom leverandørens offisielle nedlastingskanal for PRO-versjonen. Brukere kunne derfor bli utsatt for trusselen mens de hentet programvaren fra den forventede kilden.
Det er fortsatt ukjent hvilken metode angriperne opprinnelig brukte for å kompromittere distribusjonskanalen.
Skadevaren gjenoppretter bakdører etter infeksjon
Ifølge Rank Math etablerer skadevaren vedvarende tilgang og kommuniserer med det angriperkontrollerte domenet rank1cdn[.]com.
Den kan også gjenopprette skjulte bakdører når noen besøker et infisert nettsted. Dermed kan fjerning av én enkelt skadelig fil etterlate andre komponenter som kan gjenopprette tilgangen.
Leverandøren advarte om at berørte installasjoner kan eksponere databaseopplysninger, API-nøkler og andre hemmelige opplysninger som webserveren har tilgang til.
Derfor er det ikke tilstrekkelig å deaktivere utvidelsen eller oppgradere til den rene versjonen etter en kompromittering. Gjenopprettingen må omfatte hele nettstedmiljøet og eventuelle eksponerte tilgangsopplysninger.
Relatert PHP-eksempel antyder flere funksjoner
En separat undersøkelse identifiserte et eksempel på skadelig PHP-kode som deler flere indikatorer med angrepet mot Rank Math. Etterforskerne kunne imidlertid ikke bekrefte om den kompromitterte utvidelsen distribuerte akkurat denne filen.
De overlappende indikatorene omfattet databaseoppføringen _np5pvf754c, markøren for planlagte oppgaver #ms6v46 og en obfuskeringsnøkkel som var oppført i leverandørens sikkerhetsvarsel.
Eksempelet inneholdt også kode for å opprette administratorkontoer med brukernavn som begynte med wpsupport_ og e-postadresser som sluttet på wp-mail.net.
I tillegg så det ut til å kunne opprette bakdøren wp-includes/class-wp-cache-util.php, som ble identifisert i Rank Maths sikkerhetsmelding.
Andre funksjoner omfattet kjøring av kommandoer, endring av databaser og tyveri av tilgangsopplysninger til skytjenester, SSH-nøkler og sensitiv informasjon. Disse funksjonene beskriver det relaterte eksempelet. De fastslår ikke at alle berørte nettsteder ble utsatt for slike handlinger.
Rene sikkerhetskopier gir en mulighet for gjenoppretting
Rank Math anbefaler å gjenopprette både nettstedfilene og databasen fra en sikkerhetskopi som man vet er ren, dersom en slik er tilgjengelig.
Administratorer bør også gjennomføre sikkerhetsskanninger og bytte passord, API-nøkler og WordPress-sikkerhetssalter. Utskifting av eksponerte tilgangsopplysninger bidrar til å forhindre tilgang som fortsatt kan være mulig selv etter at skadelige filer er fjernet.
En sikkerhetskopi må imidlertid være fra før infeksjonen for å gi et pålitelig gjenopprettingspunkt. Gjenoppretting av kompromitterte filer eller databaseinnhold kan føre til at trusselen kommer tilbake.
Leverandøren anbefaler også å blokkere utgående forbindelser til rank1cdn[.]com.
Manuell opprydding må omfatte mer enn utvidelsen
For nettsteder uten en trygg sikkerhetskopi anbefaler Rank Math manuell opprydding. Dette begynner med å slette hele den berørte utvidelsesmappen og fjerne skadelige databaseoppføringer.
Administratorer må deretter undersøke ytterligere bakdører, uautoriserte administratorkontoer, endrede filer og planlagte oppgaver. De bør også kontrollere om det er gjort endringer utenfor WordPress.
Fordi skadevaren kan gjenopprette skjulte komponenter, kan en opprydding som bare omfatter utvidelsen, etterlate nettstedet eksponert.
Brukere som installerte den berørte versjonen, men aldri aktiverte den, bør slette denne kopien og laste ned den rene versjonen 3.0.124. Rank Math anbefaler også å skanne disse nettstedene.
Leverandøren har lansert en ren utvidelsespakke, men eiere av berørte nettsteder må fortsatt undersøke og fjerne eventuelle eksisterende kompromitteringer.
0 responses to “Angrep mot Rank Math sprer bakdører til nettsteder gjennom offisielle PRO-nedlastinger”