Angribere bruger stjålne UpdraftCentral-nøgler til at installere ondsindede plugins og få administratoradgang til WordPress-websites. Angrebskampagnen følger efter et sikkerhedsbrud i TeamUpdrafts infrastruktur, som potentielt eksponerede kundeoplysninger og loginoplysninger til fjernadministration.
TeamUpdraft opdagede uautoriseret adgang i perioden 17.–18. oktober. Samtidig rapporterede sikkerhedsforskere, at angreb mod tilknyttede websites begyndte den 18. oktober kl. 15.32 UTC.
Sikkerhedsbrud hos TeamUpdraft eksponerer følsomme forbindelsesdata
TeamUpdraft udvikler værktøjer til sikkerhedskopiering, fjernadministration, cloudlagring og testmiljøer til WordPress-websites. Virksomhedens produkter omfatter UpdraftPlus, UpdraftCentral, UpdraftVault og UpdraftClone.
Virksomheden mener, at den uvedkommende fik adgang til kundedatabasen. Databasen indeholdt kunde- og faktureringsoplysninger, ordrehistorik, adgangskodehashes og indstillinger for tofaktorgodkendelse.
Den indeholdt også forbindelsesnøgler til UpdraftCentral, UpdraftVault og UpdraftClone. Disse adgangsoplysninger er særligt følsomme, fordi de muliggør adgang mellem tjenester og tilknyttede websites.
Som reaktion oplyste TeamUpdraft, at virksomheden lukkede adgangsvejen, loggede alle konti ud og udskiftede potentielt berørte nøgler og loginoplysninger.
Virksomheden oplyste, at den ikke opbevarer betalingsoplysninger. Den rapporterede også, at UpdraftPlus’ pluginfiler og downloads forblev upåvirkede, ligesom selvhostede UpdraftCentral-installationer.
Angribere misbruger betroet adgang til fjernadministration
Ifølge Patchstack brugte angriberne stjålne UpdraftCentral-nøgler til at udføre kode og oprette konti med fulde administratorrettigheder.
Forskerne identificerede mindst 99 forskellige navne på ondsindede plugins. Angriberne forklædte disse plugins som almindelige vedligeholdelses- eller optimeringsværktøjer, herunder et med navnet “Site Health Cache”.
En tidlig variant af bagdøren indeholdt en programmeringsfejl, som forhindrede den i at fungere korrekt. Nethemba dokumenterede dog en nyere version, som kunne oprette konti med udvidede rettigheder eller logge angribere ind som eksisterende administratorer.
Administratorer kan derfor ikke antage, at alle ondsindede plugins i kampagnen er virkningsløse.
Opdaterede websites fik også installeret ondsindede plugins
Nethemba rapporterede angreb mod tre af sine WordPress-websites, hvor angriberne med succes installerede ondsindede plugins på to af dem.
Alle tre websites kørte WordPress 7.1.3 og UpdraftPlus 2.26.11. Ifølge virksomheden indeholdt denne pluginversion allerede beskyttelse mod den tidligere sårbarhed CVE-2026-10795.
I stedet for at udnytte denne sårbarhed fik angriberne adgang gennem UpdraftCentrals kanal til fjernadministration. De godkendte deres kommandoer med gyldige private nøgler til kontrolpanelet.
Denne forskel er vigtig, fordi en opdatering mod en ikke-relateret sårbarhed ikke ville forhindre nogen i at misbruge kompromitterede loginoplysninger til fjernadministration.
Potentiel eksponering er ikke det samme som bekræftet kompromittering
Den tilgængelige rapport anslår, at cirka 10 procent af websites med UpdraftPlus har en UpdraftCentral- eller Migrator-nøgle. På det grundlag anslår rapporten, at omkring 400.000 websites potentielt kan være eksponeret.
Dette estimat fastslår dog ikke, hvor mange websites angriberne faktisk har kompromitteret. Forskerne har bekræftet ondsindet aktivitet, men det samlede antal berørte websites er stadig uklart.
TeamUpdraft oplyste også, at sikkerhedskopier i kundernes egne eksterne lagringsløsninger forblev upåvirkede. Ikke desto mindre anbefalede virksomheden brugere, der havde tilgået deres websites gennem UpdraftCentral, at udskifte adgangsoplysninger til lagringstjenester og godkende forbindelserne igen.
Brugere opfordres til at opdatere og fjerne forbindelsesnøgler
Nethemba rapporterede, at de første udgivelser af UpdraftPlus 1.26.12 og 2.26.12 forsøgte at fjerne UpdraftCentral Cloud-nøgler. En fejl forhindrede dog, at nøglerne faktisk blev fjernet.
Vejledningen til hændelsen anbefaler derfor UpdraftPlus 1.26.13 til brugere af gratisversionen eller 2.26.13 til Premium-brugere, alternativt nyere versioner.
Efter opdateringen bør administratorer kontrollere hvert website og slette eksisterende UpdraftCentral-forbindelsesnøgler via:
Indstillinger → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys
Derudover bør de undersøge filer og logfiler ved hjælp af de indikatorer, som TeamUpdraft, Patchstack og Nethemba har offentliggjort.
Hvis undersøgelser bekræfter en kompromittering, anbefaler vejledningen at gendanne en ren sikkerhedskopi, ændre TeamUpdraft-adgangskoden og tilbagekalde aktive sessioner. Administratorer bør også nulstille deres metode til tofaktorgodkendelse.
At fjerne den stjålne adgang alene fjerner ikke en bagdør, som angriberne allerede har installeret. Berørte websites har derfor brug for både ændringer af loginoplysninger og en grundig vurdering af kompromitteringen.
0 svar til “Stjålne UpdraftCentral-nøgler bruges til at installere bagdøre i WordPress”