Создатели популярного SEO-плагина Rank Math признали, что через их собственные каналы распространялась заражённая сборка Rank Math PRO 3.0.123. Владельцы сайтов на WordPress, которые просто нажали «Обновить», могли получить вместе с плагином скрытый вход для злоумышленников.

Исправленная версия 3.0.124 уже вышла, но разработчики честно предупреждают: она лишь заменяет вредоносный компонент. Всё, что бэкдор успел создать после активации, остаётся на месте, и разбираться с этим придётся вручную.

Кого это касается

Окно заражения было коротким: с 15 октября 20:02 UTC до 16 октября 07:12 UTC (с 23:02 до 10:12 по Москве). В эти 11 часов отравленный пакет можно было скачать с сайта Rank Math или получить автообновлением. Бесплатная версия из каталога WordPress.org не пострадала, как и копии PRO 3.0.123, загруженные раньше этого окна.

Почему простого обновления мало

Вредонос умеет восстанавливаться: при заходе на сайт он заново создаёт бэкдор, поэтому удаление пары PHP-файлов или отключение плагина ничего не гарантирует. Закрепление идёт сразу в нескольких местах — в скрытых скриптах, записях базы данных и заданиях cron, а части кода могут прятаться в папках других плагинов и тем.

  • администраторы с именами, начинающимися на wpsupport_;
  • файл wp-includes/class-wp-cache-util.php;
  • обращения к домену rank1cdn.com;
  • опции _uf6qdn2hmm, t8krdk990phb и _np5pvf754c в таблице параметров.

Что делать владельцу сайта

Лучший вариант — откатить файлы и базу из бэкапа, сделанного до 15 октября 20:02 UTC. При ручной чистке сначала целиком удаляют каталог rank-math-pro и вредоносные опции, затем проверяют файлы, учётные записи, cron и настройки сервера. Пароли WordPress, доступы к БД и хостингу, API-ключи и платёжные настройки стоит считать скомпрометированными и сменить. Если сборку скачали, но не активировали, достаточно удалить её и поставить 3.0.124.

Наш комментарий

Атаки через цепочку поставок неприятны тем, что бьют по самым аккуратным: тем, кто вовремя обновляется. Для WordPress-проектов это аргумент держать регулярные бэкапы с понятной датой, обновлять платные плагины сначала на копии сайта и минимизировать число дополнений с доступом к ядру. Подробности и индикаторы заражения — в материале SecurityLab.