Хакеры встроили бэкдор в плагин Rank Math для WordPress

Разработчик популярного SEO-плагина Rank Math для WordPress признал атаку на цепочку поставок. С 15 по 16 октября с его официального сайта раздавали заражённую версию Rank Math PRO 3.0.123. Сайты, где её установили и включили, могли получить скрытый доступ для злоумышленников.

Опасное окно длилось около 11 часов: с 20:02 UTC 15 октября до 07:12 UTC 16 октября. Rank Math удалила заражённые файлы и выпустила чистую версию 3.0.124. Бесплатный плагин Rank Math SEO из каталога WordPress.org не пострадал. Он работает более чем на 4 млн сайтов.

«Заражённые файлы плагина содержали вредоносный код, который мог скомпрометировать сайт, если плагин был активирован», — говорится в предупреждении компании. Сколько сайтов пострадало, Rank Math не раскрывает и говорит лишь об «ограниченном числе» пользователей. Как хакеры попали в систему сборки, тоже неизвестно.

Что делает вредонос

По данным BleepingComputer, код закрепляется на сайте и связывается с доменом злоумышленников rank1cdn[.]com. Бэкдоры восстанавливаются при каждом посещении страницы, поэтому удалить один файл недостаточно. Вредонос открывает доступ к паролям от базы данных, API-ключам и другим секретам на сервере.

Издание нашло на VirusTotal связанный образец с теми же признаками заражения. Он выполняет команды, меняет базу WordPress и крадёт ключи от AWS, Cloudflare, Google Cloud, Azure и SSH. Ещё он создаёт администраторов с логином, начинающимся на «wpsupport_», и почтой на домене wp-mail.net. Доказать, что этот файл распространялся именно через плагин, BleepingComputer не удалось.

Что делать владельцам сайтов

Обновление или отключение плагина угрозу не убирает. Rank Math советует:

• восстановить файлы и базу из чистой резервной копии, затем проверить сайт сканером;
• сменить все пароли, ключи и «соли» WordPress;
• без резервной копии — удалить папку плагина и вредоносные записи в базе, затем искать лишних администраторов, изменённые файлы и задачи cron;
• заблокировать исходящие подключения к rank1cdn[.]com;
• если плагин установили, но не включали, удалить его и поставить версию 3.0.124.

Атака касается и казахстанских компаний, интернет-магазинов и СМИ на WordPress, которые покупали PRO-версию в эти дни. Ранее хакеры уже украли API-ключи пользователей OpenCode: там утечка задела 1,4% пользователей сервиса.

Источники: BleepingComputer — о заражённой версии Rank Math PRO