Kaj se je zgodilo
Popularni plačljivi vtičnik za WordPress Rank Math PRO, namenjen optimizaciji za iskalnike, je bil tarča napada na dobavno verigo. Po navedbah The Hacker News so kopije vtičnika, prenesene z uradne strani rankmath.com ali dostavljene prek sistema posodobitev med 20:02 UTC 15. oktobra in 07:12 UTC 16. oktobra, vsebovale zlonamerno kodo. SecurityWeek dodaja, da je bila zlonamerna koda vrinjena v pakete različice Rank Math PRO 3.0.123, ki so bili distribuirani v tem časovnem oknu.
Rank Math je 16. oktobra objavil varnostno obvestilo, v katerem priznava kompromitacijo in uporabnike opozarja, da je treba vsako stran, na kateri je bila nameščena in aktivirana okužena kopija vtičnika, obravnavati kot ogroženo. Po navedbah The Hacker News naj bi zlonamerna koda omogočala vgraditev zakulisnih vrat (backdoor), ki se samodejno obnavlja, kar pomeni, da preprosta odstranitev ali posodobitev vtičnika morda ne zadošča za popolno odstranitev grožnje.
Kaj to pomeni za slovenska in evropska podjetja
Rank Math je eden izmed bolj razširjenih SEO vtičnikov za WordPress, zato dogodek zadeva vsa podjetja, ki uporabljajo njegovo plačljivo različico PRO. Ker je šlo za kompromitacijo uradnega distribucijskega kanala, se tveganje ne omejuje na uporabnike, ki so vtičnik namestili iz neznanih virov, temveč na vse, ki so ga v navedenem časovnem oknu prenesli ali posodobili iz uradnega vira. Glede na naravo zakulisnih vrat, ki se po navedbah vira samodejno obnavljajo, lahko kompromitacija ostane neopažena dlje časa, kar povečuje tveganje za nadaljnjo zlorabo spletnih strani, kraje podatkov ali vključitve strani v širše zlonamerne kampanje.
Priporočeni ukrepi
- Preverite, ali ste med 15. in 16. oktobrom prenesli ali posodobili Rank Math PRO, in če je bila ta kopija nameščena in aktivirana, stran obravnavajte kot ogroženo.
- Spremljajte uradno varnostno obvestilo Rank Math za natančna navodila o odstranitvi zakulisnih vrat in čiščenju strani.
- Glede na to, da gre po navedbah vira za samodejno obnavljajoča se zakulisna vrata, preprosta ponovna namestitev vtičnika morda ne zadošča, zato je priporočljiv temeljit pregled datotečnega sistema in baze podatkov.
- Preverite dnevnike dostopa in administrativne uporabnike na prizadetih straneh zaradi morebitnih nepooblaščenih sprememb.
- Pred ponovno uporabo vtičnika namestite izključno različice, ki jih je proizvajalec potrdil kot čiste.
Vprašanja in odgovori
Koga zadeva ta kompromitacija? Po navedbah virov vse uporabnike, ki so Rank Math PRO prenesli z rankmath.com ali prejeli kot posodobitev med 20:02 UTC 15. oktobra in 07:12 UTC 16. oktobra.
Ali zadostuje odstranitev ali posodobitev vtičnika? Po navedbah The Hacker News zlonamerna koda vsebuje samodejno obnavljajoča se zakulisna vrata, zato je potreben temeljit pregled strani, ne le odstranitev vtičnika.
Pogosta vprašanja
Kateri uporabniki so prizadeti?
Po navedbah virov tisti, ki so Rank Math PRO prenesli z rankmath.com ali prejeli kot posodobitev med 20:02 UTC 15. oktobra in 07:12 UTC 16. oktobra.
Katera različica vtičnika je bila kompromitirana?
Po navedbah SecurityWeek je šlo za pakete različice Rank Math PRO 3.0.123.
Ali zadostuje preprosta posodobitev vtičnika za odpravo težave?
Po navedbah vira zlonamerna koda vsebuje samodejno obnavljajoča se zakulisna vrata, zato je priporočljiv temeljit pregled strani, ne le posodobitev vtičnika.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Plex2Shell: veriga štirih ranljivosti v Plex Media Server izkoriščena v praksi