Mechanizm ataku i wykorzystanie kluczy
Atakujący wykorzystują poprawne klucze usługi UpdraftCentral do wysyłania poleceń przez kanał zdalnego zarządzania wtyczki UpdraftPlus. Żądania są poprawnie szyfrowane i podpisywane, przez co witryna uznaje je za legalne. Kampania obejmuje instalowanie złośliwych wtyczek za pomocą standardowego instalatora WordPressa.
Klucze dostępu mogą trafić do systemu w wyniku domyślnego zaznaczenia opcji dodawania witryny do UpdraftCentral podczas łączenia konta. Ponieważ klucze te nie wygasają automatycznie, wiele stron posiada aktywne połączenie mimo korzystania z wtyczki wyłącznie do kopii zapasowych.
Charakterystyka złośliwych wtyczek
Dostarczane wtyczki działają jako tylne drzwi. Monitorują one ruch pod kątem konkretnego parametru w adresie URL, który po podaniu tokena tworzy konto z uprawnieniami redaktora, nadając mu dodatkowo uprawnienia do zarządzania opcjami i instalowania wtyczek. Logowanie odbywa się bezpośrednio przez pliki cookie, co pozwala ominąć standardowy formularz logowania oraz uwierzytelnianie dwuskładnikowe.
Analiza próbek wykazuje błąd w kodzie powodujący błąd krytyczny przed sprawdzeniem tokena, przez co dotknięte strony zwracają błąd HTTP 500 na żądania bez pamięci podręcznej. Złośliwe wtyczki ukrywają się pod różnymi nazwami, takimi jak Site Health Cache, przy czym posiadają stały opis informujący o małym narzędziu konserwacyjnym dbającym o porządek w opcjach.
Weryfikacja i usuwanie zagrożenia
Aby sprawdzić stan witryny, należy zweryfikować obecność kluczy lokalnych za pomocą narzędzia WP-CLI lub sprawdzić ustawienia w panelu administracyjnym. W celu zabezpieczenia strony należy usunąć klucze UpdraftCentral, co nie wpływa negatywnie na działanie samych kopii zapasowych, a jedynie wstrzymuje zdalne zarządzanie.
- Przejdź do sekcji ustawień kopii zapasowych w panelu administracyjnym i wybierz narzędzia zaawansowane.
- Usuń wszystkie powiązane klucze w sekcji zarządzania kluczami UpdraftCentral.
- W przypadku wykrycia złośliwej wtyczki należy najpierw usunąć klucz, a następnie zdezaktywować wtyczkę i przenieść jej pliki poza katalog główny serwera.
- Usuń utworzone przez atakujących konta użytkowników oraz opcje synchronizacji w bazie danych.