Alisina NawabiEen extra PHP-sample op VirusTotal deelt vier indicatoren met de Rank Math-waarschuwing, meldt BleepingComputer in een artikel van 19 oktober; verspreiding via de plugin is niet bevestigd.
Het downloadmoment bepaalt of een WordPress-site met Rank Math PRO in de getroffen groep valt. Sommige downloads en updates van PRO 3.0.123 tussen 15 oktober 20:02 UTC en 16 oktober 07:12 UTC bevatten malware, aldus Rank Math. De gratis Rank Math SEO-plugin van WordPress.org is niet geraakt. Is een besmette kopie geactiveerd, dan moet de site als gecompromitteerd worden behandeld; alleen bijwerken naar 3.0.124 verwijdert de achtergebleven toegang niet.
De sample voegt herkenningspunten toe
BleepingComputer vond op VirusTotal een PHP-bestand met de naam cache-preloader-fff033 (1).php. Het deelt volgens de redactie vier indicatoren uit de waarschuwing van Rank Math: de XOR-sleutel xmmqhn, de databaseoptie _np5pvf754c, de cronmarkering #ms6v46 en code die beheerdersaccounts met de prefix wpsupport_ en adressen op @wp-mail.net aanmaakt. De sample zelf staat niet in de waarschuwingen van Rank Math of Wordfence.
Het script lijkt als eerste stap de achterdeur wp-includes/class-wp-cache-util.php te installeren, een bestand dat Rank Math als verdacht noemt. Volgens BleepingComputer kan het ook opdrachten uitvoeren, WordPress-data wijzigen en cloud- en SSH-geheimen stelen, waaronder sleutels voor AWS, Cloudflare, Google Cloud en Azure. BleepingComputer zegt dat de gedeelde indicatoren op een relatie met dezelfde aanvalsgroep wijzen. Ze bewijzen niet dat dit script in de besmette PRO-downloads zat.
Dezelfde versie kan schoon of besmet zijn
De changelog dateert de normale uitgave van 3.0.123 op 7 oktober en de release van 3.0.124 op 16 oktober. Het versienummer 3.0.123 zegt op zichzelf dus niet of een kopie besmet is: alleen een deel van de downloads en updates binnen het genoemde venster bleek betrokken.
De waarschuwing onderscheidt drie situaties. Wie de betrokken PRO-kopie binnen het venster installeerde en activeerde, moet de site als gecompromitteerd behandelen, ook als de plug-in inmiddels is bijgewerkt. Wie de bestanden installeerde maar de plug-in niet activeerde, moet de volledige plug-inmap verwijderen, een schone 3.0.124 installeren en een scan uitvoeren. Voor een download die niet is geïnstalleerd of geactiveerd, zegt Rank Math dat er op basis van dit incident alleen geen aanwijzing voor besmetting is.
Herstel begint vóór een nieuwe pluginversie
Voor een actieve besmette kopie adviseert Rank Math een herstel van zowel de websitebestanden als de database vanaf een back-up van vóór 15 oktober 20:02 UTC. Daarna volgen een beveiligingsscan en het vervangen van alle wachtwoorden, databasegegevens, API-sleutels, WordPress-salts en toegangsgegevens voor hosting, FTP, SFTP en SSH. De schone versie 3.0.124 komt pas na die stappen terug.
Is er geen bruikbare back-up, dan begint de handmatige route met het verwijderen van de volledige map rank-math-pro, niet alleen het deactiveren van de plug-in. Daarna moeten beheerders drie mogelijke waarden uit wp_options verwijderen: _uf6qdn2hmm, t8krdk990phb en _np5pvf754c. Rank Math adviseert ook uitgaand verkeer naar rank1cdn[.]com te blokkeren als de firewall of hosting dat ondersteunt.
Daarna volgt onderzoek naar achtergelaten PHP-bestanden in andere plug-ins, thema’s, must-use-plugins en de uploads-map, naar onbekende beheerders en naar het valse WordPress-bestand wp-includes/class-wp-cache-util.php. Ook .htaccess-regels die .cache-bestanden als PHP uitvoeren en geplande taken met #ms6v46 horen bij de controle. SecurityWeek noemt daarnaast SSH-sleutels, crontabs van andere servergebruikers en processen buiten de WordPress-map. Wordfence waarschuwt dat een schone pluginupdate andere bestanden, accounts en geplande taken niet verwijdert. Dat sluit aan op de WordPress-herstelregel dat een patch geen eerder geplaatste achterdeur of beheerdersaccount weghaalt.
Ook andere WordPress-kanalen zijn geraakt
In juni vond Wordfence backdoors in ShapedPlugin PRO-releases die via de officiële betaalde updatekanalen van de leverancier werden verspreid. In augustus beschreef Wordfence hoe een vergiftigde BdThemes-API-feed op elke beheerpagina stille accounts kon aanmaken zonder pluginbestanden te wijzigen. Een tweede payload in die aanval gebruikte voorspelbare bd_-accounts waarvan de gegevens uit de sitenaam werden berekend.
De routes verschillen: bij BdThemes liep de aanval via externe JSON-data, bij Rank Math zat de malware in een deel van de pluginpakketten zelf. Samen genomen wijzen de meldingen erop dat download- en updatekanalen van leveranciers onderdeel zijn van de beveiligingsgrens van een WordPress-site. In dit incident vertelt een standaard versiecontrole niet welke inhoud een klant op een bepaald moment heeft ontvangen.
De omvang en oorzaak blijven onbekend
The Hacker News meldt dat de inbraakroute, het aantal geraakte gebruikers, de inzet van automatische updates en pakket-hashes ontbreken in de openbare melding, net als een verband met de eerder genoemde aanvallers. BleepingComputer schreef dat Rank Math bij publicatie nog niet had gereageerd op vragen over de omvang en de eerste toegang.
Zonder pakket-hashes is het versienummer alleen onvoldoende om de herkomst van een lokaal bestand vast te stellen. Het downloadmoment en de vraag of de kopie actief is geweest bepalen of het herstelpad van Rank Math geldt. De extra VirusTotal-sample levert meer herkenningspunten voor onderzoek, maar maakt de verspreidingsroute niet alsnog bewezen. Daarmee blijft de belangrijkste open vraag hoe lang de leveranciersketen een besmet pakket heeft aangeboden en hoeveel sites dat in het genoemde tijdvak hebben binnengehaald.
Veelgestelde vragen
Software veilig doorbouwen
Ik help je bestaande websoftware eerst doorgronden en ontwerp daarna een passende route, van eerste idee tot realisatie en automatisering. Waar het kan, kies ik voor self-hosted zodat je meer grip houdt op de uitvoering en het beheer.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
