Rank Math плагинінің ресми нұсқасына бэкдор салынды

WordPress-ке арналған танымал Rank Math SEO-плагинінің әзірлеушісі жеткізу тізбегіне шабуыл болғанын мойындады. 15–16 қазанда компанияның ресми сайтынан Rank Math PRO 3.0.123 нұсқасының вирус жұққан көшірмесі таратылған. Оны орнатып, іске қосқан сайттарға хакерлер жасырын кіре алатын болған.

Қауіпті кезең шамамен 11 сағатқа созылды, яғни 15 қазан 20:02 UTC-тен 16 қазан 07:12 UTC-ке дейін. Rank Math зиянды файлдарды өшіріп, таза 3.0.124 нұсқасын шығарды. Ал WordPress.org каталогындағы тегін Rank Math SEO плагиніне шабуыл тимеген. Ол 4 миллионнан астам сайтта тұр.

«Плагиннің зақымдалған файлдарында зиянды код болды, плагин іске қосылса, ол сайтқа қауіп төндіруі мүмкін еді», — делінген компания ескертуінде. Rank Math қанша сайт зардап шеккенін айтпады, тек пайдаланушылардың «шектеулі бөлігі» деп шектелді. Хакерлер жинақ жүйесіне қалай кіргені де белгісіз.

Зиянды код не істейді

BleepingComputer мәліметінше, код сайтқа орнығып алып, шабуылдаушылардың rank1cdn[.]com доменімен байланысады. Бэкдорлар бетке әр кірген сайын қайта қалпына келеді. Сондықтан бір файлды өшіру жеткіліксіз. Зиянды бағдарлама дерекқор құпиясөздеріне, API-кілттерге және сервердегі басқа құпия деректерге жол ашады.

Басылым VirusTotal-дан осындай белгілері бар тағы бір үлгіні тапты. Ол команда орындайды, WordPress дерекқорын өзгертеді, AWS, Cloudflare, Google Cloud, Azure және SSH кілттерін ұрлайды. Сонымен қатар логині «wpsupport_» деп басталатын, поштасы wp-mail.net доменінде тұрған әкімшілерді ашады. Алайда бұл файл дәл осы плагин арқылы тарағанын BleepingComputer дәлелдей алмады.

Сайт иелеріне не істеу керек

Плагинді жаңарту не өшіру қауіпті жоймайды. Rank Math мынаны ұсынады:

• файлдар мен дерекқорды таза резервтік көшірмеден қалпына келтіріп, сайтты сканермен тексеру;
• барлық құпиясөзді, кілттерді және WordPress «тұздарын» ауыстыру;
• резервтік көшірме жоқ болса, плагин папкасы мен дерекқордағы зиянды жазбаларды өшіріп, артық әкімшілерді, өзгерген файлдарды және cron тапсырмаларын іздеу;
• rank1cdn[.]com доменіне шығыс қосылымдарды бұғаттау;
• плагин орнатылып, бірақ іске қосылмаған болса, оны өшіріп, 3.0.124 нұсқасын қою.

Шабуыл сол күндері PRO нұсқасын сатып алған, WordPress-те жұмыс істейтін қазақстандық компанияларға, интернет-дүкендер мен БАҚ-қа да қатысты. Бұған дейін хакерлер OpenCode пайдаланушыларының API-кілттерін ұрлаған еді: ол жолы жылыстау сервис пайдаланушыларының 1,4%-ына тиді.

Дереккөздер: BleepingComputer — Rank Math PRO-ның зақымдалған нұсқасы туралы