Rank Math PRO розповсюджував бекдор: атака на ланцюг постачання
Частина завантажень Rank Math PRO для WordPress містила бекдор. Компанія прибрала шкідливі файли і випустила чисту версію 3.0.124.
Минулого тижня частина користувачів завантажила з офіційного сайту Rank Math скомпрометовану версію плагіна Rank Math PRO, яка після активації впроваджувала бекдори на сайтах.
Що сталося
За даними компанії, проблема торкнулася версії 3.0.123, яку завантажували між 15 жовтня 20:02 UTC та 16 жовтня 07:12 UTC. Лише PRO-версія була уражена; безкоштовний плагін із WordPress.org не постраждав. Виробник повідомив, що одразу видалив заражені файли та випустив чистий реліз Rank Math PRO 3.0.124.
Як працює шкідник
Малвар встановлює стійкий доступ, спілкується з доменом rank1cdn[.]com і відтворює приховані бекдори під час відвідування зараженого сайту. Встановлення скомпрометованого плагіна наражає на ризик витоку облікових даних бази даних, API-ключів та інших секретів, доступних вебсерверу.
Під час дослідження BleepingComputer виявив на VirusTotal PHP-скрипт 'cache-preloader-fff033 (1).php' з тими самими індикаторами компрометації, які описує Rank Math: XOR-ключ «xmmqhn», запис БД «_np5pvf754c», мітка cron «#ms6v46», а також код створення адмін-акаунтів із префіксом «wpsupport_» та адресами «@wp-mail.net». Скрипт розгортає бекдор «wp-includes/class-wp-cache-util.php», уміє виконувати команди, змінювати БД WordPress і викрадати облікові дані AWS, Cloudflare, Google Cloud, Azure, SSH-ключі тощо. Водночас видання не підтвердило, що саме цей файл поширювався через підмінений плагін.
Кому хвилюватися
Користувачам, які завантажили й активували Rank Math PRO 3.0.123 у зазначене 11-годинне вікно, слід вважати сайт скомпрометованим. Ті, хто лише встановив, але не активував плагін, мають видалити його, поставити версію 3.0.124 і просканувати сайт.
Як очистити і захиститися
- Відновити файли сайту та базу даних із чистої резервної копії.
- Запустити повні сканування безпеки та змінити всі паролі, ключі й salts.
- За відсутності безпечної копії — вручну видалити теку плагіна і зловмисні записи в БД, перевірити додаткові бекдори, несанкціоновані адміни, змінені файли, планувальники й можливі правки поза WordPress.
- Заблокувати вихідні підключення до домену rank1cdn[.]com.
Rank Math не відповів на запит BleepingComputer щодо кількості потенційно уражених сайтів і початкового вектора атаки на момент публікації.
