Kênh cập nhật đáng tin cậy được cho là cách an toàn để nhận phần mềm. Trong cuộc tấn công chuỗi cung ứng Rank Math PRO, giả định đó đã thất bại. Theo SecurityWeek, tin tặc đã chèn mã độc vào các gói Rank Math PRO phiên bản 3.0.123 được phân phối trong khoảng thời gian từ ngày 15 đến ngày 16 tháng 10. Các chủ trang web đã tải xuống hoặc cài đặt plugin trong khoảng thời gian đó có lý do để xem xét kỹ hơn.
Các chi tiết công khai vẫn còn hạn chế, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và các bước thực tế bạn có thể thực hiện.
Điều gì đã xảy ra với Rank Math PRO 3.0.123
Các sự kiện cốt lõi khá rõ ràng. Mã độc đã được thêm vào các gói Rank Math PRO 3.0.123, và những gói đó được phân phối trong khoảng thời gian khoảng hai ngày, từ ngày 15 đến ngày 16 tháng 10. Rank Math PRO là một plugin WordPress cao cấp, và sự xâm phạm ảnh hưởng đến chính gói plugin chứ không phải một lỗ hổng mà khách truy cập phải khai thác.
Sự khác biệt đó rất quan trọng. Đây không phải là một lỗi mà kẻ tấn công tìm thấy và sử dụng chống lại các trang web sau đó. Mã độc được cho là đã được phân phối thông qua cùng đường dẫn phân phối mà khách hàng tin tưởng để nhận phần mềm hợp pháp. Các trang khác đưa tin về sự cố cho thấy chỉ một tập hợp con các gói chứa mã độc, và việc cập nhật sau đó có thể không loại bỏ nó. Chúng tôi chưa xác minh độc lập các chi tiết đó, vì vậy hãy coi chúng như những manh mối cần xác nhận với hướng dẫn của nhà cung cấp.
Cách kiểm tra trang web của bạn và loại bỏ mã độc
Nếu bạn đã tải xuống, cài đặt hoặc tự động cập nhật Rank Math PRO vào hoặc khoảng ngày 15 hoặc 16 tháng 10, hãy giả định rằng bạn cần xác minh bản cài đặt của mình. Một cách tiếp cận hợp lý:
- Xác nhận phiên bản và ngày cài đặt. Kiểm tra xem phiên bản 3.0.123 có được cài đặt không và gói được lấy khi nào. Nếu nằm ngoài khoảng ngày 15-16 tháng 10, rủi ro của bạn thấp hơn, nhưng vẫn nên xác nhận với nhà cung cấp.
- Tìm hướng dẫn của nhà cung cấp trước. Làm theo hướng dẫn chính thức từ nhóm Rank Math để xác định các gói bị ảnh hưởng và dọn dẹp. Không chỉ dựa vào việc cập nhật plugin, vì cập nhật không nhất thiết loại bỏ mã đã chạy.
- So sánh tệp với bản sao sạch. Tải xuống một bản sao mới, đã được nhà cung cấp xác nhận của plugin và so sánh các tệp của nó với những gì trên máy chủ của bạn. Các tệp không mong đợi hoặc mã đã bị sửa đổi là những dấu hiệu cảnh báo.
- Xem xét người dùng, tác vụ theo lịch và các tệp đã thay đổi gần đây. Tìm các tài khoản quản trị viên bạn không tạo, các tác vụ theo lịch không quen thuộc và các tệp bị sửa đổi vào khoảng ngày bị ảnh hưởng.
- Xoay vòng thông tin đăng nhập. Thay đổi mật khẩu quản trị WordPress, thông tin đăng nhập cơ sở dữ liệu, đăng nhập lưu trữ và FTP/SFTP, và các khóa API được lưu trữ trên trang web. Vô hiệu hóa các phiên đang hoạt động.
- Khôi phục từ bản sao lưu đã biết là tốt nếu cần. Nếu bạn tìm thấy bằng chứng về sự xâm phạm, bản sao lưu được thực hiện trước ngày 15 tháng 10 thường là con đường sạch nhất, sau đó cài đặt phiên bản plugin đã được xác minh.
Nếu bạn không chắc chắn, nhà cung cấp dịch vụ lưu trữ hoặc chuyên gia ứng phó sự cố chuyên nghiệp có thể giúp quét và dọn dẹp trang web.
Tại sao các cuộc tấn công chuỗi cung ứng plugin lại gây rủi ro cho khách truy cập
Một plugin WordPress chạy với quyền truy cập sâu vào trang web của bạn. Nó có thể đọc cơ sở dữ liệu, sửa đổi các trang và thêm các tập lệnh tải trong trình duyệt của mọi khách truy cập. Khi mã độc đến bên trong một plugin hợp pháp, nó thừa hưởng sự tin cậy đó.
Đối với chủ trang web, rủi ro bao gồm truy cập trái phép, các trang bị biến dạng hoặc chuyển hướng, và dữ liệu bị đánh cắp. Đối với khách truy cập, rủi ro là gián tiếp nhưng có thật: một trang web bị xâm phạm có thể phục vụ các tập lệnh độc hại, đẩy các chuyển hướng không mong muốn hoặc thu thập thông tin được nhập vào biểu mẫu. Độc giả và khách hàng của bạn không làm gì sai, nhưng họ phải chịu một phần rủi ro.
Các cuộc tấn công chuỗi cung ứng cũng khó phát hiện vì các dấu hiệu cảnh báo thông thường không áp dụng. Phần mềm đến từ nguồn dự kiến, được cài đặt bình thường và có thể hoạt động như quảng cáo trong khi làm việc khác trong nền.
Điều này có ý nghĩa gì với bạn
Nếu bạn điều hành một trang web WordPress với Rank Math PRO, hãy kiểm tra hôm nay xem phiên bản 3.0.123 có được cài đặt trong khoảng ngày 15-16 tháng 10 không. Nếu có, hãy coi trang web là có khả năng bị xâm phạm cho đến khi bạn xác minh được điều ngược lại. Nếu bạn chỉ sử dụng plugin Rank Math miễn phí hoặc không sử dụng nó, báo cáo cụ thể này không chỉ ra bạn, nhưng bài học vẫn áp dụng cho mọi plugin bạn chạy.
Nếu bạn là khách truy cập các trang web WordPress chứ không phải chủ sở hữu, bạn khó có thể làm gì trực tiếp. Giữ trình duyệt và công cụ bảo mật của bạn được cập nhật và thận trọng với các chuyển hướng hoặc cửa sổ bật lên bất ngờ là thực hành chung hợp lý.
Danh sách kiểm tra WordPress để xác minh tính toàn vẹn của phần mềm
Bạn không thể loại bỏ rủi ro chuỗi cung ứng, nhưng bạn có thể làm cho nó dễ phát hiện hơn. Xây dựng những thói quen này vào bảo trì định kỳ:
- Duy trì danh mục. Biết mọi plugin và chủ đề bạn chạy, cùng với phiên bản và nguồn.
- Cập nhật theo giai đoạn. Kiểm tra cập nhật trên bản sao dàn dựng trước khi đẩy lên môi trường sản xuất, đặc biệt đối với plugin cao cấp, và cân nhắc trì hoãn tự động cập nhật trên các trang quan trọng một hoặc hai ngày.
- Xác minh tải xuống. Khi nhà cung cấp công bố tổng kiểm tra hoặc chữ ký, hãy sử dụng chúng. Kiểm tra hàm băm mật mã là một hình thức xác minh đơn giản, và ý tưởng đằng sau nó kết nối với các khái niệm mật mã rộng hơn như bằng chứng không kiến thức, cho thấy cách một thứ gì đó có thể được xác minh mà không tiết lộ bí mật cơ bản.
- Theo dõi thay đổi tệp. Sử dụng giám sát tính toàn vẹn tệp để các thay đổi không mong đợi đối với tệp plugin kích hoạt cảnh báo.
- Hạn chế đặc quyền. Sử dụng các tài khoản riêng biệt, có đặc quyền tối thiểu và thông tin đăng nhập duy nhất cho quyền truy cập lưu trữ, cơ sở dữ liệu và quản trị.
- Duy trì bản sao lưu đã kiểm tra. Lưu trữ bản sao lưu ngoài máy chủ và xác nhận bạn có thể khôi phục chúng.
- Theo dõi thông báo bảo mật của nhà cung cấp. Đăng ký nhận thông báo cho mọi plugin bạn phụ thuộc.
Điểm chính
Cuộc tấn công chuỗi cung ứng Rank Math PRO là lời nhắc nhở rằng một bản tải xuống hợp pháp không tự động là một bản an toàn. Kiểm tra các bản cài đặt Rank Math PRO của bạn ngay hôm nay, xác nhận xem 3.0.123 có được cài đặt vào ngày 15 hoặc 16 tháng 10 không, làm theo hướng dẫn dọn dẹp của nhà cung cấp và xoay vòng thông tin đăng nhập của bạn. Sau đó, biến việc kiểm tra tính toàn vẹn plugin thành một phần thường xuyên trong cách bạn quản lý trang web của mình, để sự cố tiếp theo được phát hiện trong vài giờ thay vì vài tuần.
