Злоумышленники взломали сайт TeamUpdraft, разработчика популярных плагинов для резервного копирования и безопасности WordPress, потенциально скомпрометировав ключи подключения UpdraftCentral, которые позволяют отправлять команды на подключенные сайты. В выходные дни TeamUpdraft обнаружила несанкционированный доступ к своей инфраструктуре, полагая, что хакер получил доступ к базе данных клиентов. При этом один лишь UpdraftPlus плагин для резервного копирования и восстановления имеет более 4 млн. загрузок. Поставщик полагает, что, по его мнению, злоумышленник получил доступ к базе данных, которая содержала информацию о клиентах, платежных реквизитах, истории заказов, а также более конфиденциальную информацию, включая хеши паролей, настройки 2Fa и ключи подключения для сервисов UpdraftCentral, UpdraftVault и UpdraftClone. При этом в TeamUpdraft отмечают, что файлы плагина UpdraftPlus и возможности его загрузки остаются без изменений. Самостоятельно размещенные экземпляры UpdraftCentral также не затронуты. Даже если резервные копии в собственном удаленном хранилище клиентов не затронуты, компания рекомендует обновлять учетные данные хранилища и повторно авторизовывать подключения, если они заходили на свой сайт через UpdraftCentral. По оценкам, примерно 10% сайтов, использующих UpdraftPlus, имеют ключ UpdraftCentral или Migrator, что потенциально подвергает атаке около 400 000 сайтов. По мнению Patchstack, злоумышленники начали использовать украденные ключи доступа для внедрения бэкдоров на сайты, подключенные к UpdraftCentral, и предполагают, что на самом деле кампания может быть гораздо более масштабной, нежели атака wp2shell. Исследователи отследили начало атак 18 октября в 15:32 UTC, когда атакующие нацелились на RCE и добавление учетных записей с полными правами администратора. Зафиксировано как минимум 99 вредоносных плагинов-бэкдоров с различными названиями, замаскированных под инструменты для обслуживания и оптимизации WordPress, например, Site Health Cache. Patchstack описывает ранний вариант плагина-бэкдора, который оказался неработоспособен из-за ошибки в коде. В отчете Nethemba представлена более новая версия, позволяющая злоумышленникам создавать привилегированные учетные записи или входить в систему от имени существующих администраторов. Исследователи Nethemba отметили, что три её собственных сайта на WordPress также стали плацдармом для вредоносных плагинов UpdraftCentral. Злоумышленник проник на сервер через канал удаленного управления UpdraftCentral и подписал команды, используя действительные закрытые ключи панели управления. Пользователям рекомендуется обновиться, после чего войти на каждый сайт WordPress и удалить ключи подключения UpdraftCentral. Также следует проверить журналы и файлы на наличие IOCs от TeamUpdraft, Patchstack и Nethemba. В случае подтверждения взлома - восстановить сайты из чистых резервных копий, изменить пароль учетной записи TeamUpdraft, аннулировать все сессии и сбросить 2Fa.