Kupci Rank Math PRO dodatka za WordPress jedanaest sati preuzimali zaraženu verziju
Ko je 15. ili 16. oktobra preuzeo plaćenu verziju popularnog WordPress dodatka Rank Math, mogao je napadaču da otvori stalan pristup svom sajtu. Rank Math je alat koji pomaže da se sajt bolje kotira na pretraživačima. Besplatnu verziju koristi preko četiri miliona sajtova, a plaćena PRO verzija stiže direktno sa sajta proizvođača. Upravo tu je napadač podmetnuo zaraženu verziju 3.0.123, koja se delila oko 11 sati, od 15. oktobra uveče do 16. ujutru. Rank Math kaže da je pogođeno nekoliko stotina kupaca, a besplatna verzija nije dirana. Zaraženi dodatak na sajtu ostavlja skriven kod koji napadaču održava otvoren pristup. Ako ga vlasnik obriše, kod se sam vraća čim bilo ko otvori neku stranicu sajta. Uz to otvara pristup lozinkama baze i drugim tajnama, i pravi administratorske naloge čije ime počinje sa wpsupport_. Kako je napadač ušao u proizvođačev sistem, nije objavljeno. Rank Math je incident objavio 16. oktobra, uklonio zaražene fajlove i izdao čistu verziju 3.0.124. Ažuriranje, međutim, ne čisti sajt: ko je zaraženu verziju aktivirao, treba da ga smatra kompromitovanim i vrati iz rezervne kopije starije od 15. oktobra.
Plaćeni dodatak se kupuje i zbog osećaja sigurnosti: neko odgovara za kod i postoji podrška. Ovde je baš taj kanal kojim stižu plaćena ažuriranja postao vektor napada, a besplatna verzija, koja ide preko WordPress.org, ostala je čista. Jedanaest sati je dovoljno, jer mnogi sajtovi dodatke ažuriraju automatski, bez nadgledanja. Proizvođač je reagovao brzo i otvoreno, ali posao čišćenja ostaje vlasnicima sajtova, a mnogi od njih ne znaju ni koje dodatke imaju. Na uzorku domaćih opštinskih sajtova, čije smo javne naslovne strane ovih dana pregledali, WordPress je bio najčešći prepoznati sistem, a neki su radili na verzijama starim i po devet godina. Kod takvih sajtova pitanje je i da li bi iko uopšte primetio zarazu.
- Ako koristiš Rank Math PRO, proveri da li je između 15. oktobra u 20:02 i 16. oktobra u 07:12 UTC instalirana verzija 3.0.123 — ako jeste i bila je aktivna, sajt smatraj kompromitovanim
- Vrati fajlove i bazu iz rezervne kopije starije od 15. oktobra, pa promeni sve lozinke, ključeve i WordPress salt vrednosti — samo ažuriranje na 3.0.124 ne uklanja ono što je napadač već ostavio
- Potraži administratorske naloge čije ime počinje sa wpsupport_, fajl wp-includes/class-wp-cache-util.php i nepoznate zakazane zadatke, i blokiraj izlazne veze ka rank1cdn[.]com
- Vodi spisak dodataka na svakom sajtu koji održavaš i odakle se ažuriraju — plaćeni dodaci stižu direktno od proizvođača, mimo WordPress.org