Intrånget hos Rank Math gjorde vissa officiella nedladdningar av det betalda WordPress-tillägget för SEO till en distributionskanal för skadlig kod. Enligt leverantören kunde drabbade exemplar av Rank Math PRO version 3.0.123 kompromettera webbplatser när administratörer aktiverade dem.
De skadliga nedladdningarna var tillgängliga mellan den 15 oktober klockan 20.02 UTC och den 16 oktober klockan 07.12 UTC. Rank Math tog därefter bort de drabbade filerna och släppte den rena versionen 3.0.124.
Att installera ersättningsversionen tar dock inte bort en infektion som redan har fått fäste. Administratörer som aktiverade ett drabbat exemplar bör betrakta sina webbplatser som komprometterade.
Incidenten påverkade PRO-nedladdningar under ett elvatimmarsfönster
Rank Math uppgav att incidenten påverkade ett begränsat antal användare som laddade ner PRO version 3.0.123 under den angivna perioden. Företaget har inte avslöjat hur många webbplatser som potentiellt har komprometterats.
Det kostnadsfria tillägget Rank Math SEO, som finns tillgängligt via WordPress.org, påverkades inte. Även om den versionen har över fyra miljoner aktiva installationer visar dessa siffror inte attackens omfattning.
Skillnaden är viktig eftersom de skadliga filerna distribuerades via leverantörens officiella nedladdningskanal för PRO-versionen. Användare kunde därför utsättas för hotet när de hämtade programvaran från den förväntade källan.
Det är fortfarande okänt vilken metod angriparna ursprungligen använde för att kompromettera distributionskanalen.
Skadlig kod återskapar bakdörrar efter infektion
Enligt Rank Math etablerar den skadliga koden bestående åtkomst och kommunicerar med den angriparkontrollerade domänen rank1cdn[.]com.
Den kan också återskapa dolda bakdörrar när någon besöker en infekterad webbplats. Därför kan borttagning av en enda skadlig fil lämna kvar andra komponenter som kan återställa åtkomsten.
Leverantören varnade för att drabbade installationer kan exponera databasuppgifter, API-nycklar och andra hemliga uppgifter som webbservern har tillgång till.
Av den anledningen räcker det inte att inaktivera tillägget eller uppgradera till den rena versionen efter ett intrång. Återställningen måste omfatta hela webbplatsmiljön och eventuella exponerade inloggningsuppgifter.
Relaterat PHP-exempel tyder på bredare funktioner
En separat undersökning identifierade ett exempel på skadlig PHP-kod som delar flera indikatorer med intrånget hos Rank Math. Utredarna kunde dock inte bekräfta om det komprometterade tillägget distribuerade just den filen.
De gemensamma indikatorerna omfattade databasposten _np5pvf754c, markören för schemalagda uppgifter #ms6v46 och en obfuskeringsnyckel som leverantören angav i sin säkerhetsvarning.
Exemplet innehöll också kod för att skapa administratörskonton med användarnamn som började med wpsupport_ och e-postadresser som slutade med wp-mail.net.
Dessutom verkade det kunna skapa bakdörren wp-includes/class-wp-cache-util.php som identifierades i Rank Maths säkerhetsmeddelande.
Andra funktioner omfattade körning av kommandon, ändring av databaser och stöld av molninloggningsuppgifter, SSH-nycklar och känslig information. Dessa funktioner beskriver det relaterade exemplet. De fastställer inte att varje drabbad webbplats utsattes för dessa aktiviteter.
Rena säkerhetskopior erbjuder en väg till återställning
Rank Math rekommenderar att administratörer återställer både webbplatsfilerna och databasen från en verifierat ren säkerhetskopia, om en sådan finns tillgänglig.
Administratörer bör också genomföra säkerhetsskanningar och byta lösenord, API-nycklar och WordPress säkerhetssalter. Att ersätta exponerade inloggningsuppgifter hjälper till att förhindra åtkomst som annars kan vara möjlig även efter att de skadliga filerna har tagits bort.
En säkerhetskopia måste dock vara från tiden före infektionen för att fungera som en tillförlitlig återställningspunkt. Att återställa komprometterade filer eller databasinnehåll kan återinföra hotet.
Leverantören rekommenderar också att utgående anslutningar till rank1cdn[.]com blockeras.
Manuell rensning måste omfatta mer än tillägget
För webbplatser som saknar en säker säkerhetskopia rekommenderar Rank Math manuell rensning. Den börjar med att administratören tar bort hela den drabbade tilläggsmappen och raderar skadliga databasposter.
Administratörer måste därefter undersöka ytterligare bakdörrar, obehöriga administratörskonton, modifierade filer och schemalagda uppgifter. De bör också kontrollera om angriparna har gjort ändringar utanför WordPress.
Eftersom den skadliga koden kan återställa dolda komponenter kan en rensning som enbart omfattar tillägget lämna webbplatsen exponerad.
Användare som installerade den drabbade versionen men aldrig aktiverade den bör ta bort exemplaret och ladda ner den rena versionen 3.0.124. Rank Math rekommenderar också att dessa webbplatser skannas.
Leverantören har släppt ett rent tilläggspaket, men ägare till drabbade webbplatser behöver fortfarande undersöka och åtgärda eventuella befintliga intrång.
0 svar till ”Intrång hos Rank Math sprider bakdörrar till webbplatser via officiella PRO-nedladdningar”