Przebieg ataku i zakres skompromitowania
W ubiegłym tygodniu doszło do ataku na łańcuch dostaw, w ramach którego część pobrań płatnej wtyczki Rank Math PRO zawierała złośliwe oprogramowanie. Według komunikatu dostawcy problem dotyczył wersji 3.0.123, pobieranej między 15 października od godziny 20:02 UTC a 16 października do godziny 07:12 UTC. Darmowa wersja wtyczki dostępna w oficjalnym katalogu WordPress.org pozostała całkowicie bezpieczna i nie została objęta tym incydentem.
Zainfekowane pliki instalowały złośliwe oprogramowanie w momencie aktywacji wtyczki na stronie. Malware nawiązuje łączność z domeną rank1cdn.com i odtwarza ukryte tylne drzwi przy każdorazowej wizycie użytkownika na stronie. Ponadto atakujący zyskują dostęp do danych uwierzytelniających bazę danych, kluczy API oraz innych sekretów dostępnych dla serwera WWW. Analiza wykazała obecność skryptu tworzącego konta administratorów z przedrostkiem nazwy użytkownika wpsupport_ oraz adresami e-mail w domenie wp-mail.net, a także modyfikującego bazę danych i pliki systemowe.
Zalecenia dotyczące czyszczenia i zabezpieczenia stron
Właściciele stron, którzy zainstalowali i aktywowali zagrożoną wersję wtyczki w podanym przedziale czasowym, muszą traktować swoje witryny jako całkowicie skompromitowane. Sama deaktywacja lub aktualizacja wtyczki po fakcie infekcji nie usuwa zagrożenia z systemu. W celu usunięcia złośliwego kodu konieczne jest przywrócenie plików oraz bazy danych z czystej kopii zapasowej wykonanej przed incydentem.
W przypadku braku bezpiecznej kopii zapasowej wymagane jest ręczne usunięcie całego katalogu wtyczki oraz złośliwych wpisów z bazy danych. Administratorzy muszą dokładnie sprawdzić pliki pod kątem obecności nieautoryzowanych kont administratorów, zmienionych plików oraz zaplanowanych zadań. Zaleca się również zablokowanie wszelkich połączeń wychodzących do domeny atakującego rank1cdn.com oraz natychmiastową zmianę wszystkich haseł, kluczy oraz danych dostępowych.