Некоторые загрузки плагина Rank Math PRO для WordPress с официального сайта разработчика содержали вредоносное ПО, которое на прошлой неделе способствовало распространению скрытых бэкдоров в рамках атаки на цепочку поставок. Rank Math PRO - представляет собой это плагин для WordPress, предназначенный для SEO-оптимизации, который используется более чем на 4 млн. сайтах. По данным разработчика, ограниченное число пользователей, загрузивших версию 3.0.123 в период с 15 октября 20:02 UTC по 16 октября 07:12 UTC, получили взломанные версии, поставив под угрозу безопасность своих сайтов. В Rank Math смогли выявить в затронутых файлах плагина вредоносное ПО, незамедлительно их удалили и выпустили чистую версию v3.0.124. Пользователям, установившим и активировавшим троянизированную версию в течение этих 11 часов, следует считать свои сайты скомпрометированными и следовать процедурам очистки, описанным в рекомендациях поставщика. В уведомлении поставщика подчеркивается компрометация лишь PRO-версии, при этом бесплатная версия Rank Math SEO от WordPress осталась незатронутой. Компания отметила, что вредоносная ПО устанавливает постоянный доступ, взаимодействует с rank1cdn[.]com и воссоздает скрытые бэкдоры при посещении зараженного сайта. Поставщик предупреждает, что пользователи, устанавливающие скомпрометированную версию Rank Math PRO, раскрывают учетные данные базы данных, ключи API и другие секретные данные, доступные веб-серверу. В ходе исследования атаки на VirusTotal был обнаружен образец вредоносного ПО PHP под названием cache-preloader-fff033 (1).php, который, по всей видимости, связан с взломом Rank Math. Хотя этот файл не упоминался в предупреждениях Rank Math или Wordfence, он содержит те же иIOCs, что и в предупреждении Rank Math: ключ обфускации XOR xmmqhn; запись в базе данных WordPress _np5pvf754c; маркер задания cron ms6v46, а также код для создания учетных записей администратора с использованием префикса имени пользователя wpsupport_ и адресов электронной почты @wp-mail.net. Вредоносная ПО, по всей видимости, действует как скрипт первого этапа развертывания, создающий бэкдор wp-includes/class-wp-cache-util.php, упомянутый в рекомендациях Rank Math. PHP-скрипт также позволяет выполнять команды, изменять базы данных WordPress и красть учетные данные AWS, Cloudflare, Google Cloud, Azure, ключи SSH и другую конфиденциальную информацию. Хотя эти IOCs указывают на связь с тем же злоумышленником, что и атака Rank Math, пока сложно подтвердить, распространялась ли она через скомпрометированный плагин. Администраторам при наличии подозрений на взлом следует восстановить файлы сайта и базу данных из чистой резервной копии, запустить сканирование и обновить все пароли, ключи и соли. Для сайтов, не имеющих безопасной резервной копии, Rank Math рекомендует ручную очистку, отмечая, что деактивация или обновление плагина после взлома не устранит угрозу. Для очистки необходимо удалить всю папку плагина и вредоносные записи в базе данных, прежде чем исследовать бэкдоры, левые учетные записи администратора, измененные файлы, запланированные задачи и возможные изменения вне WordPress. Также рекомендуется заблокировать все исходящие соединения с доменом rank1cdn[.]com. Пользователям, установившим, но так и не активировавшим плагин, следует удалить его, загрузить чистую версию 3.0.124, а затем просканировать свои сайты.