Pluginul Rank Math pentru SEO din WordPress a permis introducerea unor backdoor-uri în site-urile web

Unele descărcări ale pluginului Rank Math PRO pentru WordPress de pe site-ul oficial al furnizorului conțineau programe malware care au instalat backdoor-uri ascunse în cadrul unui atac de tip supply-chain.

Potrivit furnizorului, un număr limitat de utilizatori care au descărcat versiunea 3.0.123 a pluginului între 15 octombrie, ora 20:02 UTC, și 16 octombrie, ora 07:12 UTC, au primit versiuni compromise care ar fi putut compromite site-urile lor web la activare.

Utilizatorii care au instalat și activat versiunea infectată cu acest trojan în acest interval de 11 ore ar trebui să considere că site-urile lor web au fost compromise și să urmeze procedurile de remediere prezentate în avizul furnizorului.

Rank Math PRO este un plugin WordPress de optimizare pentru motoarele de căutare (SEO) care ajută site-urile web să-și îmbunătățească vizibilitatea în rezultatele căutării. Este versiunea cu plată a variantei gratuite, care este activă pe peste 4 milioane de site-uri web.

Un comunicat al furnizorului subliniază faptul că doar versiunea PRO a fost compromisă, iar versiunea gratuită a Rank Math SEO de pe WordPress.org nu a fost afectată.

Rank Math precizează că programul malware stabilește un acces persistent, comunică cu rank1cdn[.]com și recreează backdoor-uri ascunse atunci când cineva accesează site-ul web infectat.

Furnizorul avertizează că utilizatorii care instalează versiunea compromisă a Rank Math PRO expun datele de autentificare ale bazei de date, cheile API și alte informații confidențiale accesibile serverului web.

Malware-ul pare să funcționeze ca un script de implementare de primă etapă, care creează backdoor-ul wp-includes/class-wp-cache-util.php menționat în avertismentul Rank Math.

Scriptul PHP include, de asemenea, capacitatea de a executa comenzi, de a modifica bazele de date WordPress și de a sustrage datele de autentificare pentru AWS, Cloudflare, Google Cloud și Azure, cheile SSH și alte informații sensibile.

Administratorii site-urilor web care suspectează o breșă de securitate ar trebui să restaureze fișierele site-ului și baza de date dintr-o copie de rezervă sigură, să efectueze scanări de securitate și să schimbe toate parolele, cheile și valorile salt.

Pentru site-urile web care nu dispun de o copie de rezervă sigură din care să se poată restaura, Rank Math recomandă curățarea manuală, precizând că dezactivarea sau actualizarea pluginului după o breșă de securitate nu va elimina amenințarea.

Curățarea presupune ștergerea întregului folder al pluginului și a înregistrărilor rău intenționate din baza de date înainte de a analiza backdoor-uri suplimentare, conturi de administrator neautorizate, fișiere modificate, sarcini programate și posibile modificări din afara WordPress.

De asemenea, se recomandă blocarea tuturor conexiunilor de ieșire către domeniul atacatorului, rank1cdn[.]com.

Utilizatorii care au instalat pluginul, dar nu l-au activat niciodată, ar trebui să îl șteargă acum, să descarce versiunea sigură 3.0.124 și apoi să-și scaneze site-urile.

Sursă: https://www.bleepingcomputer.com/news/security/wordpress-seo-plugin-rank-math-compromised-to-backdoor-websites/