Der Angriff auf Rank Math verwandelte einige offizielle Downloads des kostenpflichtigen WordPress-SEO-Plugins in einen Verbreitungsweg für Schadsoftware. Nach Angaben des Anbieters konnten betroffene Kopien von Rank Math PRO Version 3.0.123 Websites kompromittieren, sobald Administratoren sie aktivierten.
Die schädlichen Downloads waren zwischen dem 15. Oktober um 20:02 Uhr UTC und dem 16. Oktober um 07:12 Uhr UTC verfügbar. Rank Math entfernte anschließend die betroffenen Dateien und veröffentlichte die bereinigte Version 3.0.124.
Die Installation der Ersatzversion entfernt jedoch keine bereits bestehende Infektion. Administratoren, die eine betroffene Kopie aktiviert haben, sollten ihre Websites als kompromittiert betrachten.
Vorfall betraf PRO-Downloads während eines Zeitfensters von elf Stunden
Rank Math erklärte, dass der Vorfall eine begrenzte Anzahl von Nutzern betraf, die PRO Version 3.0.123 im angegebenen Zeitraum heruntergeladen hatten. Das Unternehmen hat nicht offengelegt, wie viele Websites möglicherweise kompromittiert wurden.
Das kostenlose Plugin Rank Math SEO, das über WordPress.org verfügbar ist, blieb von dem Vorfall unberührt. Obwohl diese Version mehr als vier Millionen aktive Installationen verzeichnet, lassen diese Zahlen keine Rückschlüsse auf das Ausmaß des Angriffs zu.
Diese Unterscheidung ist wichtig, da die schädlichen Dateien über den offiziellen PRO-Downloadkanal des Anbieters verbreitet wurden. Nutzer konnten der Bedrohung daher ausgesetzt sein, während sie die Software aus der vorgesehenen Quelle bezogen.
Mit welcher Methode die Angreifer den Verbreitungsweg ursprünglich kompromittierten, ist weiterhin unbekannt.
Schadsoftware stellt Backdoors nach einer Infektion wieder her
Laut Rank Math richtet die Schadsoftware einen dauerhaften Zugriff ein und kommuniziert mit der von Angreifern kontrollierten Domain rank1cdn[.]com.
Sie kann außerdem versteckte Backdoors erneut erstellen, wenn jemand eine infizierte Website besucht. Folglich können nach dem Entfernen einer einzelnen schädlichen Datei weitere Komponenten zurückbleiben, die den Zugriff wiederherstellen können.
Der Anbieter warnte davor, dass betroffene Installationen Datenbankzugangsdaten, API-Schlüssel und andere vertrauliche Informationen offenlegen könnten, auf die der Webserver zugreifen kann.
Aus diesem Grund reicht es nach einer Kompromittierung nicht aus, das Plugin zu deaktivieren oder auf die bereinigte Version zu aktualisieren. Die Wiederherstellung muss die gesamte Website-Umgebung und sämtliche möglicherweise offengelegten Zugangsdaten berücksichtigen.
Verwandtes PHP-Beispiel deutet auf weitere Fähigkeiten hin
Eine separate Untersuchung identifizierte ein PHP-Malware-Beispiel, das mehrere Indikatoren mit dem Angriff auf Rank Math gemeinsam hat. Die Ermittler konnten jedoch nicht bestätigen, ob das kompromittierte Plugin genau diese Datei verbreitete.
Zu den übereinstimmenden Indikatoren gehörten der Datenbankeintrag _np5pvf754c, die Kennzeichnung für geplante Aufgaben #ms6v46 und ein Verschleierungsschlüssel, der in der Sicherheitswarnung des Anbieters aufgeführt war.
Das Beispiel enthielt außerdem Code zum Erstellen von Administratorkonten mit Benutzernamen, die mit wpsupport_ begannen, und E-Mail-Adressen, die auf wp-mail.net endeten.
Darüber hinaus schien es in der Lage zu sein, die Backdoor wp-includes/class-wp-cache-util.php zu erstellen, die Rank Math in seiner Sicherheitsmitteilung identifiziert hatte.
Weitere Funktionen umfassten die Ausführung von Befehlen, die Veränderung von Datenbanken sowie den Diebstahl von Cloud-Zugangsdaten, SSH-Schlüsseln und sensiblen Informationen. Diese Fähigkeiten beziehen sich auf das verwandte Malware-Beispiel. Sie belegen nicht, dass auf jeder betroffenen Website entsprechende Aktivitäten stattfanden.
Saubere Backups bieten eine Möglichkeit zur Wiederherstellung
Rank Math empfiehlt, sowohl die Website-Dateien als auch die Datenbank aus einem nachweislich sauberen Backup wiederherzustellen, sofern ein solches verfügbar ist.
Administratoren sollten außerdem Sicherheitsscans durchführen und Passwörter, API-Schlüssel sowie WordPress-Sicherheitssalze erneuern. Der Austausch offengelegter Zugangsdaten hilft dabei, Zugriffe zu verhindern, die selbst nach dem Entfernen schädlicher Dateien weiterhin möglich sein könnten.
Ein Backup muss jedoch aus der Zeit vor der Infektion stammen, um einen zuverlässigen Wiederherstellungspunkt zu bieten. Die Wiederherstellung kompromittierter Dateien oder Datenbankinhalte könnte die Bedrohung erneut einschleusen.
Der Anbieter empfiehlt außerdem, ausgehende Verbindungen zu rank1cdn[.]com zu blockieren.
Manuelle Bereinigung muss über das Plugin hinausgehen
Für Websites ohne sicheres Backup empfiehlt Rank Math eine manuelle Bereinigung. Diese beginnt damit, den gesamten betroffenen Plugin-Ordner zu löschen und schädliche Datenbankeinträge zu entfernen.
Anschließend müssen Administratoren nach weiteren Backdoors, unautorisierten Administratorkonten, veränderten Dateien und geplanten Aufgaben suchen. Sie sollten außerdem überprüfen, ob Änderungen außerhalb von WordPress vorgenommen wurden.
Da die Schadsoftware versteckte Komponenten wiederherstellen kann, könnte eine Bereinigung, die sich ausschließlich auf das Plugin beschränkt, die Website weiterhin gefährden.
Nutzer, die die betroffene Version installiert, aber nie aktiviert haben, sollten diese Kopie löschen und die bereinigte Version 3.0.124 herunterladen. Rank Math empfiehlt außerdem, diese Websites auf Schadsoftware zu überprüfen.
Der Anbieter hat ein bereinigtes Plugin-Paket veröffentlicht. Betreiber betroffener Websites müssen jedoch weiterhin mögliche bestehende Kompromittierungen untersuchen und beseitigen.
0 Kommentare zu „Angriff auf Rank Math verbreitet Website-Backdoors über offizielle PRO-Downloads“