Довереният канал за актуализации би трябвало да е безопасният начин за получаване на софтуер. При атаката по веригата за доставки на Rank Math PRO това предположение се провали. Според SecurityWeek хакери са инжектирали зловреден софтуер в пакетите на Rank Math PRO версия 3.0.123, които са били разпространявани между 15 и 16 октомври. Собствениците на сайтове, които са изтеглили или инсталирали плъгина в този период, имат основание да погледнат по-внимателно.

Публичните подробности все още са ограничени, затова тази публикация се придържа към това, което е било докладвано, и се фокусира върху практични стъпки, които можете да предприемете.

Какво се случи с Rank Math PRO 3.0.123

Основните факти са ясни. Зловреден код е бил добавен към пакетите на Rank Math PRO 3.0.123 и тези пакети са били разпространявани в период от около два дни – от 15 до 16 октомври. Rank Math PRO е премиум плъгин за WordPress и компрометирането е засегнало самия пакет на плъгина, а не уязвимост, която посетител би трябвало да експлоатира.

Тази разлика е важна. Това не беше бъг, който нападателите са открили и използвали срещу сайтове впоследствие. Кодът, както се съобщава, е бил доставен чрез същия канал за разпространение, на който клиентите разчитат, за да получат легитимен софтуер. Други страници, отразяващи инцидента, посочват, че само част от пакетите са носили зловредния код и че простото актуализиране след това може да не го премахне. Ние не сме проверявали независимо тези подробности, така че ги третирайте като следи, които да потвърдите спрямо официалните указания на доставчика.

Как да проверите сайта си и да премахнете зловредния код

Ако сте изтеглили, инсталирали или автоматично актуализирали Rank Math PRO на или около 15 или 16 октомври, приемете, че трябва да проверите инсталацията си. Разумен подход:

  • Потвърдете версията и датата на инсталиране. Проверете дали е инсталирана версия 3.0.123 и кога е бил получен пакетът. Ако това е станало извън периода 15–16 октомври, рискът е по-нисък, но все пак се консултирайте с доставчика.
  • Първо потърсете указания от доставчика. Следвайте официалните инструкции на екипа на Rank Math за идентифициране на засегнатите пакети и почистване. Не разчитайте само на актуализация на плъгина, тъй като актуализацията не премахва непременно код, който вече е бил изпълнен.
  • Сравнете файловете с чист екземпляр. Изтеглете нов, потвърден от доставчика екземпляр на плъгина и сравнете файловете му с тези на сървъра си. Неочаквани файлове или модифициран код са предупредителни знаци.
  • Прегледайте потребителите, планираните задачи и наскоро променените файлове. Търсете администраторски акаунти, които не сте създали, непознати планирани задачи и файлове, променени около засегнатите дати.
  • Сменете идентификационните данни. Променете администраторските пароли на WordPress, данните за достъп до базата данни, данните за вход в хостинга и FTP/SFTP и API ключовете, съхранявани на сайта. Анулирайте активните сесии.
  • Възстановете от доказано чисто резервно копие, ако е необходимо. Ако откриете доказателства за компрометиране, резервно копие, направено преди 15 октомври, често е най-чистият път, последвано от инсталиране на проверена версия на плъгина.

Ако не сте сигурни, доставчикът на хостинг или професионален екип за реагиране при инциденти може да помогне за сканирането и почистването на сайта.

Защо атаките по веригата за доставки на плъгини излагат на риск посетителите

Плъгинът за WordPress работи с дълбок достъп до вашия сайт. Той може да чете базата данни, да променя страници и да добавя скриптове, които се зареждат в браузъра на всеки посетител. Когато зловреден код пристигне вътре в легитимен плъгин, той наследява това доверие.

За собствениците на сайтове рискът включва неоторизиран достъп, дефейснати или пренасочени страници и откраднати данни. За посетителите рискът е косвен, но реален: компрометиран сайт може да сервира зловредни скриптове, да налага нежелани пренасочвания или да прихваща информация, въведена във формуляри. Вашите читатели и клиенти не са направили нищо лошо, но все пак понасят част от излагането.

Атаките по веригата за доставки са и трудни за забелязване, защото обичайните предупредителни знаци не важат. Софтуерът е дошъл от очаквания източник, инсталирал се е нормално и може да се държи както е рекламиран, докато върши нещо друго във фонов режим.

Какво означава това за вас

Ако управлявате сайт на WordPress с Rank Math PRO, проверете днес дали версия 3.0.123 е била инсталирана в периода 15–16 октомври. Ако е била, третирайте сайта като потенциално компрометиран, докато не се уверите в обратното. Ако използвате само безплатния плъгин Rank Math или не го използвате изобщо, този конкретен доклад не сочи към вас, но урокът важи за всеки плъгин, който използвате.

Ако сте посетител на сайтове на WordPress, а не собственик, няма много, което можете да направите директно. Поддържането на браузъра и инструментите ви за сигурност актуални и вниманието към неочаквани пренасочвания или изскачащи прозорци е разумна обща практика.

Контролен списък за WordPress за проверка на целостта на софтуера

Не можете да елиминирате риска по веригата за доставки, но можете да улесните откриването му. Вградете тези навици в рутинната поддръжка:

  1. Поддържайте инвентар. Знайте всеки плъгин и тема, които използвате, както и версиите и източниците им.
  2. Тествайте актуализациите на етап. Тествайте актуализациите върху копие за тестване, преди да ги пуснете в производствена среда, особено за премиум плъгини, и обмислете забавяне на автоматичните актуализации на критични сайтове с ден-два.
  3. Проверявайте изтеглянията. Когато доставчик публикува контролни суми или подписи, използвайте ги. Проверката на криптографски хеш е проста форма на верификация, а идеята зад нея се свързва с по-широки криптографски концепции като доказателство с нулево знание, което показва как нещо може да бъде проверено, без да се разкриват основните тайни.
  4. Наблюдавайте промените във файловете. Използвайте мониторинг на целостта на файловете, така че неочакваните промени в файловете на плъгините да задействат предупреждение.
  5. Ограничете привилегиите. Използвайте отделни акаунти с минимални привилегии и уникални идентификационни данни за достъп до хостинга, базата данни и администраторския достъп.
  6. Поддържайте тествани резервни копия. Съхранявайте резервните копия извън сървъра и потвърждавайте, че можете да ги възстановите.
  7. Следете съобщенията за сигурност от доставчика. Абонирайте се за бюлетини за сигурност за всеки плъгин, от който зависите.

Изводи

Атаката по веригата за доставки на Rank Math PRO е напомняне, че легитимното изтегляне не е автоматично безопасно. Одитирайте инсталациите си на Rank Math PRO днес, потвърдете дали 3.0.123 е била инсталирана на 15 или 16 октомври, следвайте указанията на доставчика за почистване и сменете идентификационните си данни. След това превърнете проверките на целостта на плъгините в редовна част от управлението на сайта си, така че следващият инцидент да бъде засечен за часове, а не за седмици.