Angreifer nutzen gestohlene UpdraftCentral-Schlüssel, um schädliche Plugins zu installieren und Administratorzugriff auf WordPress-Websites zu erhalten. Die Angriffskampagne folgt auf einen Sicherheitsvorfall in der Infrastruktur von TeamUpdraft, bei dem möglicherweise Kundendaten und Zugangsdaten für die Fernverwaltung offengelegt wurden.
TeamUpdraft entdeckte den unbefugten Zugriff zwischen dem 17. und 18. Oktober. Sicherheitsforscher berichteten unterdessen, dass die Angriffe auf verbundene Websites am 18. Oktober um 15:32 Uhr UTC begannen.
Sicherheitsvorfall bei TeamUpdraft legt sensible Verbindungsdaten offen
TeamUpdraft entwickelt Tools für WordPress-Backups, Fernverwaltung, Cloud-Speicherung und Staging-Websites. Zu den Produkten des Unternehmens gehören UpdraftPlus, UpdraftCentral, UpdraftVault und UpdraftClone.
Das Unternehmen geht davon aus, dass der Eindringling Zugriff auf seine Kundendatenbank erhielt. Diese Datenbank enthielt Kunden- und Rechnungsinformationen, Bestellhistorien, Passwort-Hashes und Einstellungen für die Zwei-Faktor-Authentifizierung.
Außerdem enthielt sie Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone. Diese Zugangsdaten sind besonders sensibel, da sie den Zugriff zwischen verschiedenen Diensten und verbundenen Websites ermöglichen.
Als Reaktion darauf erklärte TeamUpdraft, den Zugangsweg geschlossen, alle Konten abgemeldet und möglicherweise betroffene Schlüssel und Zugangsdaten ersetzt zu haben.
Das Unternehmen erklärte, keine Zahlungsdaten zu speichern. Zudem berichtete es, dass die Plugin-Dateien und Downloads von UpdraftPlus sowie selbst gehostete UpdraftCentral-Installationen nicht betroffen seien.
Angreifer missbrauchen vertrauenswürdigen Fernverwaltungszugriff
Laut Patchstack verwendeten die Angreifer gestohlene UpdraftCentral-Schlüssel, um Code auszuführen und Konten mit vollständigen Administratorrechten zu erstellen.
Die Forscher identifizierten mindestens 99 unterschiedliche Namen schädlicher Plugins. Die Angreifer tarnten diese Plugins als gewöhnliche Wartungs- oder Optimierungstools, darunter eines mit dem Namen „Site Health Cache“.
Eine frühe Variante der Backdoor enthielt einen Programmierfehler, der ihre ordnungsgemäße Funktion verhinderte. Nethemba dokumentierte jedoch eine neuere Version, die privilegierte Konten erstellen oder Angreifer als bestehende Administratoren anmelden konnte.
Administratoren können daher nicht davon ausgehen, dass alle schädlichen Plugins dieser Kampagne wirkungslos sind.
Auch aktualisierte Websites erhielten schädliche Plugins
Nethemba meldete Angriffe auf drei seiner WordPress-Websites, wobei auf zwei davon erfolgreich schädliche Plugins installiert wurden.
Alle drei Websites verwendeten WordPress 7.1.3 und UpdraftPlus 2.26.11. Nach Angaben des Unternehmens enthielt diese Plugin-Version bereits Schutzmaßnahmen gegen die frühere Schwachstelle CVE-2026-10795.
Anstatt diese Sicherheitslücke auszunutzen, verschafften sich die Angreifer über den Fernverwaltungskanal von UpdraftCentral Zugang. Sie authentifizierten ihre Befehle mit gültigen privaten Dashboard-Schlüsseln.
Diese Unterscheidung ist wichtig, da ein Update gegen eine nicht damit zusammenhängende Schwachstelle niemanden daran hindern würde, kompromittierte Zugangsdaten für die Fernverwaltung zu missbrauchen.
Potenzielle Gefährdung bedeutet keine bestätigte Kompromittierung
Der vorliegende Bericht schätzt, dass etwa 10 Prozent der Websites mit UpdraftPlus über einen UpdraftCentral- oder Migrator-Schlüssel verfügen. Auf dieser Grundlage beziffert er die Zahl der potenziell gefährdeten Websites auf rund 400.000.
Diese Schätzung sagt jedoch nichts darüber aus, wie viele Websites die Angreifer tatsächlich erfolgreich kompromittiert haben. Forscher haben bösartige Aktivitäten bestätigt, doch die Gesamtzahl der betroffenen Websites bleibt unklar.
TeamUpdraft erklärte außerdem, dass Backups in den eigenen externen Speichern der Kunden nicht betroffen seien. Dennoch empfahl das Unternehmen Nutzern, die über UpdraftCentral auf ihre Websites zugegriffen hatten, die Zugangsdaten für ihre Speicherdienste zu ändern und die Verbindungen erneut zu autorisieren.
Nutzer sollen Updates installieren und Verbindungsschlüssel entfernen
Nethemba berichtete, dass die ersten Versionen von UpdraftPlus 1.26.12 und 2.26.12 versuchten, UpdraftCentral-Cloud-Schlüssel zu entfernen. Ein Fehler verhinderte jedoch deren tatsächliche Löschung.
Die Handlungsempfehlungen zum Sicherheitsvorfall sehen daher UpdraftPlus 1.26.13 für Nutzer der kostenlosen Version beziehungsweise 2.26.13 für Premium-Nutzer oder jeweils neuere Versionen vor.
Nach dem Update sollten Administratoren jede Website überprüfen und vorhandene UpdraftCentral-Verbindungsschlüssel über folgenden Menüpfad löschen:
Einstellungen → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys
Darüber hinaus sollten sie Dateien und Protokolle anhand der von TeamUpdraft, Patchstack und Nethemba veröffentlichten Indikatoren untersuchen.
Falls Untersuchungen eine Kompromittierung bestätigen, empfiehlt die Anleitung, ein sauberes Backup wiederherzustellen, das TeamUpdraft-Passwort zu ändern und aktive Sitzungen zu widerrufen. Administratoren sollten außerdem ihre Methode zur Zwei-Faktor-Authentifizierung zurücksetzen.
Allein das Entfernen des gestohlenen Zugangs beseitigt keine Backdoor, die Angreifer bereits installiert haben. Betroffene Websites benötigen daher sowohl eine Änderung der Zugangsdaten als auch eine gründliche Untersuchung auf mögliche Kompromittierungen.
0 Kommentare zu „Gestohlene UpdraftCentral-Schlüssel werden zur Installation von Backdoors in WordPress genutzt“