Angripere bruker stjålne UpdraftCentral-nøkler til å installere skadelige programtillegg og få administratortilgang til WordPress-nettsteder. Angrepskampanjen følger etter et sikkerhetsbrudd i TeamUpdrafts infrastruktur som potensielt eksponerte kundeopplysninger og påloggingsopplysninger for fjernadministrasjon.
TeamUpdraft oppdaget uautorisert tilgang i løpet av 17.–18. oktober. Samtidig rapporterte sikkerhetsforskere at angrep mot tilknyttede nettsteder begynte 18. oktober klokken 15.32 UTC.
Sikkerhetsbrudd hos TeamUpdraft eksponerer sensitive tilkoblingsdata
TeamUpdraft utvikler verktøy for sikkerhetskopiering, fjernadministrasjon, skylagring og testmiljøer for WordPress-nettsteder. Produktene inkluderer UpdraftPlus, UpdraftCentral, UpdraftVault og UpdraftClone.
Selskapet mener at inntrengeren fikk tilgang til kundedatabasen. Databasen inneholdt kunde- og faktureringsinformasjon, ordrehistorikk, passordhasher og innstillinger for tofaktorautentisering.
Den inneholdt også tilkoblingsnøkler for UpdraftCentral, UpdraftVault og UpdraftClone. Disse tilgangsopplysningene er spesielt sensitive fordi de muliggjør tilgang mellom tjenester og tilknyttede nettsteder.
Som svar opplyste TeamUpdraft at selskapet stengte tilgangsveien, logget ut alle kontoer og erstattet potensielt berørte nøkler og påloggingsopplysninger.
Selskapet opplyste at det ikke lagrer betalingsopplysninger. Det rapporterte også at UpdraftPlus» programtilleggsfiler og nedlastinger forble upåvirket, i likhet med egenhostede UpdraftCentral-installasjoner.
Angripere misbruker betrodd tilgang til fjernadministrasjon
Ifølge Patchstack brukte angriperne stjålne UpdraftCentral-nøkler til å kjøre kode og opprette kontoer med fullstendige administratorrettigheter.
Forskerne identifiserte minst 99 forskjellige navn på skadelige programtillegg. Angriperne kamuflerte disse tilleggene som vanlige vedlikeholds- eller optimaliseringsverktøy, inkludert ett med navnet «Site Health Cache».
En tidlig variant av bakdøren inneholdt en programmeringsfeil som hindret den i å fungere som den skulle. Nethemba dokumenterte imidlertid en nyere versjon som kunne opprette kontoer med utvidede rettigheter eller logge angripere inn som eksisterende administratorer.
Administratorer kan derfor ikke anta at alle skadelige programtillegg i kampanjen er virkningsløse.
Oppdaterte nettsteder fikk også installert skadelige programtillegg
Nethemba rapporterte angrep mot tre av sine WordPress-nettsteder, der angriperne lyktes med å installere skadelige programtillegg på to av dem.
Alle tre nettstedene kjørte WordPress 7.1.3 og UpdraftPlus 2.26.11. Ifølge selskapet inneholdt denne versjonen av programtillegget allerede beskyttelse mot den tidligere sårbarheten CVE-2026-10795.
I stedet for å utnytte denne sårbarheten tok angriperne seg inn gjennom UpdraftCentrals kanal for fjernadministrasjon. De autentiserte kommandoene sine med gyldige private nøkler for kontrollpanelet.
Dette skillet er viktig fordi en oppdatering mot en urelatert sårbarhet ikke ville hindre noen i å misbruke kompromitterte påloggingsopplysninger for fjernadministrasjon.
Potensiell eksponering betyr ikke bekreftet kompromittering
Den tilgjengelige rapporten anslår at omtrent 10 prosent av nettstedene med UpdraftPlus har en UpdraftCentral- eller Migrator-nøkkel. På dette grunnlaget anslår rapporten at rundt 400 000 nettsteder potensielt kan være eksponert.
Anslaget fastslår imidlertid ikke hvor mange nettsteder angriperne faktisk klarte å kompromittere. Forskerne har bekreftet skadelig aktivitet, men det samlede antallet berørte nettsteder er fortsatt uklart.
TeamUpdraft opplyste også at sikkerhetskopier i kundenes egne eksterne lagringsløsninger forble upåvirket. Likevel anbefalte selskapet brukere som hadde fått tilgang til nettstedene sine gjennom UpdraftCentral, å bytte lagringstilgangsopplysninger og autorisere tilkoblingene på nytt.
Brukere oppfordres til å oppdatere og fjerne tilkoblingsnøkler
Nethemba rapporterte at de første utgivelsene av UpdraftPlus 1.26.12 og 2.26.12 forsøkte å fjerne UpdraftCentral Cloud-nøkler. En feil hindret imidlertid at nøklene faktisk ble fjernet.
Veiledningen for hendelsen anbefaler derfor UpdraftPlus 1.26.13 for brukere av gratisversjonen eller 2.26.13 for Premium-brukere, eventuelt nyere versjoner.
Etter oppdateringen bør administratorer kontrollere hvert nettsted og slette eksisterende UpdraftCentral-tilkoblingsnøkler via:
Innstillinger → UpdraftPlus Backups → Advanced Tools → UpdraftCentral → Manage existing keys
I tillegg bør de undersøke filer og logger ved hjelp av indikatorene som TeamUpdraft, Patchstack og Nethemba har publisert.
Hvis undersøkelser bekrefter at et nettsted er kompromittert, anbefaler veiledningen å gjenopprette en ren sikkerhetskopi, endre TeamUpdraft-passordet og tilbakekalle aktive økter. Administratorer bør også tilbakestille metoden for tofaktorautentisering.
Å fjerne den stjålne tilgangen alene fjerner ikke en bakdør som angriperne allerede har installert. Berørte nettsteder trenger derfor både endringer av påloggingsopplysninger og en grundig vurdering av kompromitteringen.
0 responses to “Stjålne UpdraftCentral-nøkler brukes til å installere bakdører i WordPress”