Plugin de backup WordPress compromis, permițând acces backdoor la distanță

Cum au folosit atacatorii cheile furate?

Cercetătorii în securitate au descoperit o vulnerabilitate critică într-un plugin de backup foarte folosit pentru WordPress, care permite atacatorilor să instaleze backdoor-uri și să creeze conturi administrative. Breșa, care afectează peste trei milioane de site-uri active, a exploatat chei de conectare furate de la serviciul cloud al plugin-ului, oferind control complet fără solicitarea parolei.

Vulnerabilitatea provenea din chei API compromise folosite pentru sincronizarea backup-urilor către UpdraftCentral. Atacatorii au folosit aceste chei pentru a încărca cod malițios direct în fișierele site-urilor. Odată instalat, backdoor-ul permite execuție la distanță și crearea de conturi administrative ascunse, ocolind verificările normale de autentificare. Exploit-ul a fost dezvăluit public apoi ce firme de securitate au detectat pattern-uri de trafic ciudate.

Atacatorii au folosit cheile de conectare UpdraftCentral pentru a obține acces nelimitat la site-urile afectate. Cu aceste chei au încărcat plugin-uri malițioase și au creat conturi administrative ascunse.

Metoda nu necesita parolă, făcând detectarea grea pentru proprietarii de site-uri. Codul malițios apărea adesea sub formă de plugin utilitar ascuns, evitând scanările standard.

Ce pot face utilizatorii?

Dezvoltatorii plugin-ului au lansat un patch pentru a invalida cheile compromitate. Utilizatorii trebuie să rotească imediat credențialele API și să activeze autentificare cu doi factori pe conturile lor de găzduire. Este, de asemenea, recomandat să monitorizați jurnalul de activitate pentru adăugări neașteptate de administratori. Mulți proprietari au descoperit breach-ul doar după ce au observat utilizatori neautorizați în panourile lor.

Peste trei milioane de site-uri rămân expuse dacă proprietarii nu actualizează. Incidentul subliniază pericolul gestionării terților în servicii cloud.

Experții recomandă rotație regulată a cheilor și limitarea accesului API pentru a reduce viitoarele bresle. Neglijența continuă poate duce la furt de date, deployare de ransomware sau preluare completă a site-urilor.

Administratorii de site-uri sunt îndemnați să auditeze toate integrările terțe și să limiteze permisiunile API la minimul necesar.

Cum au pătruns atacatorii în site-urile tale prin cheile furate?

Revizuirea regulată a jurnalului de actualizări poate revela utilizare suspecte ale cheilor. Aplicarea promptă a patch-urilor de securitate reduce fereastra de expunere pentru atacatori.

Ce a cauzat breach-ul? Cheile de conectare UpdraftCentral compromise au permis atacatorilor să încarce cod direct în site-urile WordPress. Cheile au fost furate din funcția de sincronizare a plugin-ului, oferind control nelimitat fără solicitarea parolei.

Câte site-uri sunt afectate? Pestă trei milioane de instalații WordPress active folosind versiunea vulnerabilă a plugin-ului sunt expuse. Numărul exact poate fi mai mare, deoarece multe site-uri rămân nedetectate.

Ce pași trebuie să ia utilizatorii? Utilizatorii trebuie să invalideze cheile API furate, să rotească toate credențialele asociate și să activeze autentificare cu doi factori. În plus, ar trebui să revizuiască fișierele site-ului pentru plugin-uri necunoscute și să monitorizeze jurnalul de activitate administrativă.