Компания Rank Math подтвердила, что злоумышленники взломали её системы и использовали их для распространения вредоносного программного обеспечения среди нескольких сотен пользователей платного SEO-плагина.
В заявлении, предоставленном изданию The Repository, компания сообщила, что скомпрометированная версия плагина Rank Math PRO 3.0.123 была доступна для скачивания в течение примерно 11 часов — в ночь с 15 на 16 октября (по UTC).
«Инцидент затронул несколько сотен наших клиентов», — говорится в заявлении.
Согласно бюллетеню безопасности, опубликованному в базе знаний Rank Math 16 октября, вредоносная версия была доступна в период с 20:02 UTC 15 октября до 07:12 UTC 16 октября. Компания заявила, что удалила скомпрометированный файл, запустила процедуры реагирования на инциденты и в течение нескольких часов выпустила чистую версию — 3.0.124. Бесплатная версия Rank Math, которая используется более чем на 4 миллионах сайтов, не пострадала.
В Rank Math уточнили, что копии версии 3.0.123, загруженные до начала инцидента, были безопасными. Пользователи на Reddit поделились своими наблюдениями: один из них рассказал, что сайт, на который версия 3.0.123 была установлена 12 октября, получил чистый файл, тогда как на двух других сайтах, где эта же версия была загружена 15 октября, обнаружилось вредоносное ПО. «Один и тот же релиз, но разные копии», — отметили они.
Это указывает на то, что изначально Rank Math распространяли корректную версию 3.0.123, но впоследствии файл для скачивания был подменен на вредоносный, сохранив при этом прежний номер версии. Согласно журналу изменений для PRO-версии, релиз 3.0.123 состоялся 7 октября — более чем за неделю до того, как началось распространение зараженных копий.
По данным компании Wordfence, вредоносное ПО взаимодействует с доменным именем rank1cdn.com, которое имитирует официальный домен; в своем бюллетене безопасности Rank Math рекомендует владельцам сайтов заблокировать этот адрес. Издание The Hacker News обнаружило записи, согласно которым домен был зарегистрирован 14 октября — примерно за сутки до начала инцидента. В Rank Math сообщили, что вредоносная программа способна восстанавливать скрытый бэкдор при каждом посещении сайта пользователями. В предупреждении Rank Math говорится, что злоумышленник мог создать на сервере аккаунты администраторов (с именами пользователей, начинающимися на «wpsupport_»), разместить поддельный системный файл WordPress, а также настроить выполнение запланированных задач. Компания рекомендовала пользователям исходить из того, что все пароли, учетные данные для БД и API-ключи, к которым имел доступ сайт, могли быть скомпрометированы.
Алекс Томас из Wordfence отметил, что обновление до версии 3.0.124 заменяет файлы плагина Rank Math, но не удаляет вредоносные элементы, которые злоумышленник мог разместить в других частях сайта. «Если на вашем сайте была активна скомпрометированная версия Rank Math SEO PRO 3.0.123, следует считать, что сайт был взломан», — написал он.
Rank Math рекомендует восстановить сайт из резервной копии, созданной до начала инцидента, и сменить все учетные данные. Для тех, у кого нет резервной копии, компания подготовила инструкцию по ручной очистке сайта.
Представители Rank Math разослали пострадавшим пользователям электронные письма, в которых сообщили о компрометации файлов плагина и предоставили руководство по восстановлению из резервной копии или ручной очистке системы.
Один из пользователей Reddit, столкнувшийся с заражением двух своих сайтов, опубликовал текст такого письма. Эстер де Козар, менеджер по партнерствам в WP Media (компании, входящей в группу group.one, которая также владеет Rank Math), подтвердила изданию The Repository подлинность этого сообщения.
Другие пользователи Reddit выразили недовольство тем, что информация об инциденте не была отражена в логе изменений плагина.
«Мы понимаем, насколько сильно наши клиенты полагаются на Rank Math, и приносим извинения за доставленное беспокойство. Наша команда готова помочь каждому, кто пострадал в результате этого инцидента», — заявил операционный директор Rank Math Узаир Назир.
В Rank Math не уточнили, каким образом злоумышленники проникли в системы компании и какие именно компоненты инфраструктуры были затронуты.
Этот инцидент произошел спустя шесть недель после того, как Rank Math удалила спорный компонент службы поддержки, который без ведома пользователей создавал пароли приложений (Application Passwords) с правами администратора и отправлял их на серверы материнской компании — group.one. В то время сооснователь WordPress Мэтт Мулленвег написал в канале #pluginreview в Slack-сообществе WordPress, что «AwesomeMotive, RankMath и другие были недавно взломаны», и призвал провести аудит безопасности инфраструктуры плагинов, запрашивающих административный доступ к сайтам.
На тот момент Rank Math еще не была взломана: в сентябре Де Козар сообщила изданию The Repository, что инфраструктура компании не пострадала. Теперь же это произошло.
Rank Math — не единственный разработчик плагинов, столкнувшийся со взломом в последние дни. На выходных команда Updraft обнаружила несанкционированный доступ к своим системам; злоумышленник воспользовался украденными ключами подключения UpdraftCentral, чтобы установить бэкдоры на привязанные к сервису сайты.
Эти случаи стали продолжением серии атак, произошедших в текущем году и направленных непосредственно на инфраструктуру коммерческих разработчиков плагинов. В апреле злоумышленник получил доступ к инфраструктуре обновлений компании Nextend и в течение примерно 6 часов распространял версию Smart Slider 3 Pro, содержащую бэкдор. В июне был похищен API-ключ CDN-сети компании Awesome Motive, который использовали для внедрения модифицированного JavaScript-кода на сайты, использующие плагины OptinMonster, TrustPulse и PushEngage. В том же месяце злоумышленники проникли в конвейер сборки компании ShapedPlugin и около 3 недель распространяли версии плагинов серии Pro, содержащие бэкдоры. В июле злоумышленник воспользовался забытым сервером для доставки модифицированных обновлений плагинов WPManageNinja; эта активность продолжалась около 5 часов.
Представители Rank Math сообщили, что клиенты, у которых возникли вопросы по поводу их аккаунтов, могут обратиться в службу поддержки по адресу support@rankmath.com. Компания также предупредила, что никогда не отправляет ссылки для входа в систему или загрузки файлов по электронной почте. Пользователям рекомендуется скачивать версию 3.0.124 непосредственно с сайта rankmath.com, а любые электронные письма, содержащие подобные ссылки, следует рассматривать как подозрительные.
Источник: oddstyle.ru