Злоумышленники используют украденные ключи подключения, скомпрометированные в результате утечки данных TeamUpdraft, для установки вредоносных плагинов на затронутые сайты WordPress и обеспечения постоянного доступа. Сайты, которые уже были взломаны, могут оставаться под угрозой даже после отзыва скомпрометированных учетных данных.
Атаки последовали за несанкционированным доступом к веб-сайту TeamUpdraft. Компания, разрабатывающая плагин резервного копирования UpdraftPlus и связанные с ним сервисы управления WordPress, подтвердила, что к ее базе данных клиентов, вероятно, был получен доступ.
Инцидент привел к раскрытию потенциально конфиденциальной информации, включая ключи подключения, используемые UpdraftCentral — сервисом, позволяющим администраторам удаленно управлять несколькими сайтами WordPress.
TeamUpdraft заявляет, что закрыла маршрут доступа и выпустила версии UpdraftPlus 1.26.13 и 2.26.13 для своих бесплатных и премиум-пользователей соответственно, чтобы отозвать старые облачные подключения UpdraftCentral. Однако фирма по безопасности WordPress PatchStack сообщила, что злоумышленники уже использовали раскрытые учетные данные для выполнения команд на подключенных сайтах и установки вредоносных плагинов.
Сам плагин UpdraftPlus и его загрузки не были скомпрометированы, заявила компания в своем блоге, добавив, что резервные копии, хранящиеся в собственных удаленных хранилищах клиентов, включая Google Drive, Dropbox и Amazon S3, также не пострадали.
«Однако, если к вашему сайту был получен доступ через UpdraftCentral, пожалуйста, также повторно авторизуйте ваше удаленное хранилище и измените любые ключи доступа к хранилищу в качестве меры предосторожности», — добавили они.
В октябре UpdraftPlus превзошел четыре миллиона активных установок WordPress, хотя только сайты, подключенные к UpdraftCentral через активный ключ, подвержены этой конкретной атаке.
Украденные ключи обеспечили удаленный доступ к сайту
Было замечено, что злоумышленники использовали раскрытые учетные данные UpdraftCentral для выдачи команд подключенным сайтам WordPress. Patchstack наблюдал начало атак 18 октября, когда злоумышленники использовали вредоносные плагины для обеспечения постоянного доступа и создания учетных записей с правами администратора.
Исследователи Patchstack выявили по крайней мере 99 вариантов вредоносных плагинов, некоторые из которых маскировались под инструменты для обслуживания или оптимизации. Компания Nethemba, занимающаяся безопасностью веб-приложений, сообщила, что злоумышленники атаковали три ее сайта WordPress через канал удаленного управления и успешно установили вредоносные плагины на двух из них.
Некоторые варианты бэкдоров могут создавать привилегированные учетные записи или аутентифицироваться как существующие администраторы, в то время как другие предназначены для обхода обнаружения в стандартных экранах администраторов WordPress. Отзыв исходного ключа подключения не удаляет автоматически вредоносные плагины, учетные записи или активные сеансы, созданные во время атаки, заявили исследователи.
Администраторам WordPress предстоит работа по очистке
TeamUpdraft выполнила выход из учетных записей клиентов, сбросила настройки безопасности входа, заменила учетные данные UpdraftVault и UpdraftClone, а также внедрила дополнительный мониторинг. Компания также сообщила об инциденте в Управление комиссара по информации Великобритании и другие соответствующие органы.
Потенциально доступные базы данных клиентов содержали имена, адреса электронной почты и выставления счетов, историю заказов, хеши паролей, настройки двухфакторной аутентификации и ключи подключения к сервисам. «Мы не храним никаких данных карт. Все платежи картой обрабатываются Stripe и PayPal», — уточнила компания.
Администраторам, использующим UpdraftCentral Cloud, рекомендовано обновить плагин до более безопасных версий UpdraftPlus и напрямую проверить каждый подключенный сайт. Рекомендуемые проверки включают удаление оставшихся ключей подключения UpdraftCentral, проверку учетных записей администраторов и установленных плагинов, изменение паролей администраторов и анализ журналов на предмет подозрительной активности.
Сайты, демонстрирующие признаки компрометации, возможно, потребуется восстановить из проверенной резервной копии, созданной до 17 октября, с последующей ротацией учетных данных и проверкой целостности. TeamUpdraft рекомендует изменить пароли учетных записей и сбросить двухфакторную аутентификацию, где это применимо.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
