Ein vertrauenswürdiges WordPress-Plugin-Update wurde zu einem potenziellen Einfallstor für die Kompromittierung von Websites, nachdem Angreifer mit Malware infizierte Kopien von Rank Math PRO verbreitet hatten.
Rank Math zufolge enthielten einige Kopien seines kostenpflichtigen Plugins, Version 3.0.123, die zwischen dem 15. und 16. Okt. heruntergeladen oder aktualisiert wurden, schädlichen Code, der Websites bei der Aktivierung kompromittieren konnte.
Das Unternehmen erklärt , dass es die betroffenen Dateien entfernt und Version 3.0.124 veröffentlicht hat, ein Update allein jedoch möglicherweise keine Überreste der Infektion entfernt.
Der Vorfall verdeutlicht ein Lieferkettenrisiko für Organisationen, die auf Software von Drittanbietern angewiesen sind: Selbst wenn Administratoren ein Plugin aus seiner offiziellen Quelle beziehen, können sie gefährdet sein, wenn der Vertriebsprozess des Anbieters kompromittiert wurde.
Was ist passiert?
Rank Math ist ein beliebtes WordPress-Plugin zur Suchmaschinenoptimierung (SEO), das Website-Betreibern hilft, ihre Sichtbarkeit in den Suchergebnissen zu verbessern.
BleepingComputer zufolge, unter Berufung auf WordPress-Statistiken, gibt es mehr als vier Millionen aktive Installationen des kostenlosen Plugins, während Rank Math PRO kostenpflichtige Funktionen bietet. Der jüngste Sicherheitsvorfall betraf jedoch die PRO-Version. Rank Math hat keine Zahl der betroffenen PRO-Nutzer veröffentlicht.
In einem Sicherheitshinweis gab Rank Math bekannt, dass einige Kopien von Rank Math PRO, Version 3.0.123, Malware enthielten. Die betroffenen Kopien wurden zwischen dem 15. Okt. um 20:02 Uhr UTC und dem 16. Okt. um 07:12 Uhr UTC heruntergeladen – innerhalb eines Zeitfensters von 11 Stunden und 10 Minuten. Rank Math erklärte, die betroffenen Dateien entfernt und eine bereinigte Version, 3.0.124, veröffentlicht zu haben.
Die Malware konnte eine Website kompromittieren, wenn das betroffene Plugin aktiviert wurde. Noch problematischer war, dass sie bei jedem Besuch einer infizierten Website ihre versteckte Backdoor erneut anlegen konnte. Das bedeutet, dass das Entfernen einzelner schädlicher Dateien möglicherweise nicht ausreicht, wenn zuvor nicht der Mechanismus gestoppt wird, der sie wiederherstellt.
Rank Math warnte, Website-Betreiber, die eine betroffene Kopie aktiviert hatten, sollten davon ausgehen, dass auf dem Webserver zugängliche vertrauliche Informationen offengelegt worden sein könnten.
Zu den offengelegten Informationen können Passwörter, Datenbankzugangsdaten, in wp-config.php gespeicherte Sicherheitsschlüssel und Salts, Gateway-Schlüssel sowie SMTP-Zugangsdaten gehören. Ebenfalls betroffen sein können API-Schlüssel, Zugangsdaten zu Hosting-Control-Panels, FTP-, SFTP- und SSH-Zugangsdaten sowie in Umgebungsvariablen gespeicherte Geheimnisse.
Was dieser Vorfall für Organisationen mit Websites bedeutet
Für Organisationen, die ihre Websites nutzen, um Kunden zu gewinnen, Informationen zu veröffentlichen oder Geschäfte abzuwickeln, ist die Integrität der Website das dringendste Problem. Ein kompromittiertes Plugin kann außerdem zu einem Einfallstor für einen umfassenderen Systemzugriff werden.
Je nachdem, welche Aufgaben die Website erfüllt und worauf die Angreifer zugreifen, könnte dies den Betrieb stören, vertrauliche Informationen offenlegen oder das Vertrauen der Kunden untergraben. Dies sind mögliche Folgen der gemeldeten Malware und keine Bestätigung dafür, dass jede betroffene Website davon betroffen war.
Das Risiko geht außerdem über die Website selbst hinaus. Wenn Angreifer auf dem Server gespeicherte Zugangsdaten oder API-Schlüssel erlangen, können sie diese Geheimnisse je nach den damit verbundenen Berechtigungen für den Zugriff auf verbundene Dienste nutzen. Für Unternehmen ist es daher wichtig, nicht nur die kompromittierte Website zu prüfen, sondern auch die externen Konten und Systeme, auf die sie zugreifen kann.
Der Vorfall verdeutlicht außerdem ein schwieriges Lieferkettenrisiko: Selbst Software, die über offizielle Kanäle des Anbieters verteilt wird, kann zu einer Quelle für eine Kompromittierung werden.
Administratoren installieren Updates im Allgemeinen, um Probleme zu beheben und ihre Websites sicher zu halten. Wenn jedoch ein Software-Vertriebskanal kompromittiert wird, kann ein Update stattdessen schädlichen Code einschleusen. Sobald dieser Code ausgeführt wird, entfernt die Installation einer bereinigten Version möglicherweise nicht die übrigen Änderungen, die er vorgenommen hat.
Die Lehre daraus ist nicht, Updates von Plugins des offiziellen Anbieters einzustellen. Vielmehr sollten zeitnahe Updates mit zuverlässigen Backups, der Überwachung auf nicht autorisierte Änderungen, einer sorgfältigen Verwaltung von Zugangsdaten und einem Wiederherstellungsprozess kombiniert werden, der eine über die ursprüngliche Software hinausgehende Kompromittierung berücksichtigt.
Das können Sie jetzt tun
Organisationen, die Rank Math PRO verwenden, sollten zunächst feststellen, ob sie Version 3.0.123 während des betroffenen Zeitraums heruntergeladen oder aktualisiert haben.
Wenn Sie dies getan und das betroffene Plugin aktiviert haben, rät Rank Math Ihnen, davon auszugehen, dass Ihre Website kompromittiert sein könnte. Das Unternehmen empfiehlt, die Dateien und die Datenbank Ihrer Website aus einem sauberen Backup wiederherzustellen, das vor dem Vorfallszeitraum erstellt wurde. Wenn Sie über kein solches Backup verfügen, befolgen Sie die Anweisungen zur manuellen Bereinigung. Ein einfaches Update des Plugins reicht nicht aus.
Für Personen, die das Plugin außerhalb dieses Zeitfensters installiert oder zwar installiert, aber nicht aktiviert haben, konnte das Unternehmen keine Kompromittierung feststellen. Rank Math rät Nutzern dennoch, die vorhandene PRO-Plugin-Installation zu löschen und die bereinigte Version 3.0.124 zu installieren.
Administratoren, die unsicher sind, wann das Plugin heruntergeladen oder aktiviert wurde, sollten ihren Installationsverlauf prüfen und verdächtige Änderungen untersuchen. Sie können sich außerdem unter support@rankmath.com an Rank Math wenden.
Weitere Meldung: Microsoft hat bestätigt, dass die Windows-Server-Sicherheitsupdates vom Oktober On-Premises-Bereitstellungen von Exchange Server beeinträchtigen können, was zu Verzögerungen bei der E-Mail-Zustellung, fehlgeschlagenen Webmail-Anmeldungen und Problemen bei der Verfügbarkeit von Postfächern führt.