Angrebet mod Rank Math gjorde visse officielle downloads af det betalte WordPress SEO-plugin til en distributionskanal for malware. Ifølge leverandøren kunne berørte kopier af Rank Math PRO version 3.0.123 kompromittere hjemmesider, når administratorer aktiverede dem.
De skadelige downloads var tilgængelige mellem den 15. oktober kl. 20.02 UTC og den 16. oktober kl. 07.12 UTC. Rank Math fjernede efterfølgende de berørte filer og udgav den rene version 3.0.124.
Installation af erstatningsversionen fjerner dog ikke en infektion, der allerede har fået fodfæste. Administratorer, som aktiverede en berørt kopi, bør betragte deres hjemmesider som kompromitterede.
Hændelsen påvirkede PRO-downloads i en periode på 11 timer
Rank Math oplyste, at hændelsen påvirkede et begrænset antal brugere, som downloadede PRO version 3.0.123 i den angivne periode. Virksomheden har ikke oplyst, hvor mange hjemmesider der potentielt er kompromitteret.
Det gratis Rank Math SEO-plugin, som er tilgængeligt via WordPress.org, blev ikke berørt. Selvom denne version har mere end fire millioner aktive installationer, siger disse tal ikke noget om angrebets omfang.
Forskellen er vigtig, fordi de skadelige filer blev distribueret gennem leverandørens officielle downloadkanal til PRO-versionen. Brugere kunne derfor blive udsat for truslen, mens de hentede softwaren fra den forventede kilde.
Det er fortsat ukendt, hvilken metode angriberne oprindeligt brugte til at kompromittere distributionskanalen.
Malware genskaber bagdøre efter infektion
Ifølge Rank Math etablerer malwaren vedvarende adgang og kommunikerer med det angriberkontrollerede domæne rank1cdn[.]com.
Den kan også genskabe skjulte bagdøre, når nogen besøger en inficeret hjemmeside. Derfor kan fjernelse af en enkelt skadelig fil efterlade andre komponenter, som kan genetablere adgangen.
Leverandøren advarede om, at berørte installationer kan eksponere databaseadgangsoplysninger, API-nøgler og andre hemmelige oplysninger, som webserveren har adgang til.
Derfor er det ikke tilstrækkeligt at deaktivere pluginet eller opgradere til den rene version efter en kompromittering. Genopretningen skal omfatte hele hjemmesidens miljø og eventuelle eksponerede adgangsoplysninger.
Relateret PHP-eksempel antyder flere funktioner
En separat undersøgelse identificerede et eksempel på skadelig PHP-kode, som deler flere indikatorer med angrebet mod Rank Math. Efterforskerne kunne dog ikke bekræfte, om det kompromitterede plugin distribuerede netop denne fil.
De fælles indikatorer omfattede databaseposten _np5pvf754c, markøren for planlagte opgaver #ms6v46 og en obfuskeringsnøgle, som fremgik af leverandørens sikkerhedsadvarsel.
Eksemplet indeholdt også kode til at oprette administratorkonti med brugernavne, der begyndte med wpsupport_, og e-mailadresser, der sluttede på wp-mail.net.
Derudover så det ud til at kunne oprette bagdøren wp-includes/class-wp-cache-util.php, som Rank Math identificerede i sin sikkerhedsmeddelelse.
Andre funktioner omfattede udførelse af kommandoer, ændring af databaser og tyveri af adgangsoplysninger til cloudtjenester, SSH-nøgler og følsomme oplysninger. Disse funktioner beskriver det relaterede eksempel. De fastslår ikke, at alle berørte hjemmesider blev udsat for disse handlinger.
Rene sikkerhedskopier giver mulighed for genopretning
Rank Math anbefaler at gendanne både hjemmesidens filer og databasen fra en sikkerhedskopi, som med sikkerhed er ren, hvis en sådan er tilgængelig.
Administratorer bør også gennemføre sikkerhedsscanninger og udskifte adgangskoder, API-nøgler og WordPress-sikkerhedssalte. Udskiftning af eksponerede adgangsoplysninger hjælper med at forhindre adgang, som stadig kan være mulig, selv efter at de skadelige filer er fjernet.
En sikkerhedskopi skal dog være fra før infektionen for at udgøre et pålideligt gendannelsespunkt. Gendannelse af kompromitterede filer eller databaseindhold kan genintroducere truslen.
Leverandøren anbefaler også at blokere udgående forbindelser til rank1cdn[.]com.
Manuel oprydning skal omfatte mere end pluginet
For hjemmesider uden en sikker sikkerhedskopi anbefaler Rank Math manuel oprydning. Dette begynder med at slette hele den berørte pluginmappe og fjerne skadelige databaseposter.
Administratorer skal derefter undersøge yderligere bagdøre, uautoriserede administratorkonti, ændrede filer og planlagte opgaver. De bør også kontrollere for ændringer uden for WordPress.
Fordi malwaren kan genskabe skjulte komponenter, kan en oprydning, der kun omfatter pluginet, efterlade hjemmesiden eksponeret.
Brugere, som installerede den berørte version, men aldrig aktiverede den, bør slette denne kopi og downloade den rene version 3.0.124. Rank Math anbefaler også at scanne disse hjemmesider.
Leverandøren har udgivet en ren pluginpakke, men ejere af berørte hjemmesider skal stadig undersøge og fjerne eventuelle eksisterende kompromitteringer.
0 svar til “Angreb mod Rank Math spreder bagdøre til hjemmesider gennem officielle PRO-downloads”