Důvěryhodný aktualizační kanál by měl být bezpečným způsobem, jak získat software. V útoku na dodavatelský řetězec Rank Math PRO tento předpoklad selhal. Podle SecurityWeek hackeři vložili malware do balíčků Rank Math PRO verze 3.0.123, které byly distribuovány mezi 15. a 16. říjnem. Majitelé webů, kteří plugin v tomto období stáhli nebo nainstalovali, mají důvod se na svou instalaci podívat blíže.

Veřejné podrobnosti jsou stále omezené, proto se tento příspěvek drží toho, co bylo hlášeno, a zaměřuje se na praktické kroky, které můžete podniknout.

Co se stalo s Rank Math PRO 3.0.123

Základní fakta jsou jasná. Do balíčků Rank Math PRO 3.0.123 byl přidán škodlivý kód a tyto balíčky byly distribuovány v přibližně dvoudenním období od 15. do 16. října. Rank Math PRO je prémiový plugin pro WordPress a kompromitace se týkala samotného balíčku pluginu, nikoli zranitelnosti, kterou by musel zneužít návštěvník.

Tento rozdíl je důležitý. Nešlo o chybu, kterou útočníci našli a následně zneužili proti webům. Kód byl podle zpráv doručen stejnou distribuční cestou, na kterou zákazníci spoléhají při získávání legitimního softwaru. Další stránky pokrývající incident naznačují, že škodlivý kód nesly pouze některé balíčky a že pouhá následná aktualizace jej nemusí odstranit. Tyto podrobnosti jsme neověřovali nezávisle, proto je berte jako vodítka k potvrzení podle vlastního doporučení dodavatele.

Jak zkontrolovat svůj web a odstranit škodlivý kód

Pokud jste Rank Math PRO stáhli, nainstalovali nebo automaticky aktualizovali kolem 15. nebo 16. října, předpokládejte, že potřebujete svou instalaci ověřit. Rozumný postup:

  • Ověřte svou verzi a datum instalace. Zkontrolujte, zda je nainstalována verze 3.0.123 a kdy byl balíček získán. Pokud to bylo mimo období 15.–16. října, vaše riziko je nižší, ale přesto to potvrďte u dodavatele.
  • Nejprve se řiďte pokyny dodavatele. Postupujte podle oficiálních instrukcí týmu Rank Math pro identifikaci postižených balíčků a čištění. Nespoléhejte se pouze na aktualizaci pluginu, protože aktualizace nemusí nutně odstranit kód, který již byl spuštěn.
  • Porovnejte soubory s čistou kopií. Stáhněte si čerstvou, dodavatelem potvrzenou kopii pluginu a porovnejte její soubory s tím, co je na vašem serveru. Neočekávané soubory nebo upravený kód jsou varovné signály.
  • Zkontrolujte uživatele, naplánované úlohy a nedávno změněné soubory. Hledejte administrátorské účty, které jste nevytvořili, neznámé naplánované úlohy a soubory upravené kolem postižených dat.
  • Vyměňte přihlašovací údaje. Změňte hesla administrátorů WordPressu, přihlašovací údaje k databázi, přihlášení k hostingu a FTP/SFTP a API klíče uložené na webu. Zneplatněte aktivní relace.
  • V případě potřeby obnovte ze známé dobré zálohy. Pokud najdete důkazy o kompromitaci, záloha pořízená před 15. říjnem je často nejčistší cestou, po níž následuje instalace ověřené verze pluginu.

Pokud si nejste jisti, poskytovatel hostingu nebo profesionální specialista na reakci na incidenty vám může pomoci web naskenovat a vyčistit.

Proč útoky na dodavatelský řetězec pluginů ohrožují návštěvníky

Plugin pro WordPress běží s hlubokým přístupem k vašemu webu. Může číst databázi, upravovat stránky a přidávat skripty, které se načítají v prohlížeči každého návštěvníka. Když škodlivý kód přijde uvnitř legitimního pluginu, zdědí tuto důvěru.

Pro majitele webů riziko zahrnuje neoprávněný přístup, pozměněné nebo přesměrované stránky a odcizená data. Pro návštěvníky je riziko nepřímé, ale skutečné: kompromitovaný web může sloužit škodlivé skripty, vynucovat nežádoucí přesměrování nebo zachytávat informace zadané do formulářů. Vaši čtenáři a zákazníci neudělali nic špatného, přesto nesou část expozice.

Útoky na dodavatelský řetězec je také obtížné odhalit, protože obvyklé varovné signály neplatí. Software pocházel z očekávaného zdroje, nainstaloval se normálně a může se chovat tak, jak je inzerováno, zatímco na pozadí dělá něco jiného.

Co to pro vás znamená

Pokud provozujete web na WordPressu s Rank Math PRO, zkontrolujte dnes, zda byla verze 3.0.123 nainstalována během období 15.–16. října. Pokud ano, považujte web za potenciálně kompromitovaný, dokud neověříte opak. Pokud používáte pouze bezplatný plugin Rank Math nebo jej nepoužíváte vůbec, tato konkrétní zpráva se vás netýká, ale ponaučení stále platí pro každý plugin, který provozujete.

Pokud jste spíše návštěvníkem wordpressových webů než jejich majitelem, můžete přímo udělat jen málo. Udržování prohlížeče a bezpečnostních nástrojů aktuální a obezřetnost vůči neočekávaným přesměrováním nebo vyskakovacím oknům je rozumná obecná praxe.

Kontrolní seznam pro WordPress pro ověřování integrity softwaru

Riziko dodavatelského řetězce nemůžete eliminovat, ale můžete jej snáze zachytit. Začleňte tyto návyky do rutinní údržby:

  1. Veďte inventář. Mějte přehled o každém pluginu a šabloně, které provozujete, včetně verzí a zdrojů.
  2. Testujte aktualizace ve stagingu. Testujte aktualizace na stagingové kopii před nasazením do produkce, zejména u prémiových pluginů, a zvažte odložení automatických aktualizací na kritických webech o den nebo dva.
  3. Ověřujte stahování. Když dodavatel zveřejní kontrolní součty nebo podpisy, použijte je. Ověření kryptografického hashe je jednoduchá forma verifikace a myšlenka za ním souvisí s širšími kryptografickými koncepty, jako je důkaz s nulovou znalostí, který ukazuje, jak lze něco ověřit bez odhalení podkladových tajemství.
  4. Sledujte změny souborů. Používejte monitorování integrity souborů, aby neočekávané změny souborů pluginů spustily upozornění.
  5. Omezte oprávnění. Používejte samostatné účty s minimálními oprávněními a jedinečné přihlašovací údaje pro hosting, databázi a administrátorský přístup.
  6. Uchovávejte otestované zálohy. Ukládejte zálohy mimo server a ověřte, že je dokážete obnovit.
  7. Sledujte bezpečnostní oznámení dodavatelů. Odebírejte poradenské zprávy pro každý plugin, na kterém jste závislí.

Klíčové poznatky

Útok na dodavatelský řetězec Rank Math PRO je připomínkou, že legitimní stažení není automaticky bezpečné. Proveďte dnes audit svých instalací Rank Math PRO, potvrďte, zda byla verze 3.0.123 nainstalována 15. nebo 16. října, řiďte se pokyny dodavatele k čištění a vyměňte své přihlašovací údaje. Poté si z ověřování integrity pluginů udělejte pravidelnou součást správy svého webu, aby byl příští incident zachycen v řádu hodin, nikoli týdnů.