Angreifer manipulierten Version 3.0.123 des SEO-Plugins. Wer sie zwischen 15. und 16. Oktober installierte, soll die Website als kompromittiert betrachten.
Wiederherstellung aus Backup empfohlen
Rank Math PRO: Schadcode in WordPress-Plugin entdeckt
Bildquelle: sdx15/Shutterstock.com
Das SEO-Plugin Rank Math PRO für WordPress ist Ziel eines Angriffs auf die Software-Lieferkette geworden. Einige Pakete der Version 3.0.123 enthielten Schadsoftware, über die Angreifer Websites übernehmen können, sobald das Plugin aktiviert ist. Das hat der Hersteller in einem Sicherheitshinweis bestätigt. Betroffen sein können alle Nutzer, die das Plugin zwischen dem 15. Oktober, 22:02 Uhr, und dem 16. Oktober, 9:12 Uhr mitteleuropäischer Sommerzeit heruntergeladen oder auf diese Version aktualisiert haben.
„Wir haben die betroffenen Dateien sofort entfernt und eine bereinigte Version veröffentlicht, Rank Math PRO v3.0.124″, teilt der Hersteller mit. Wie die Angreifer die Pakete manipulieren konnten und wie viele Websites betroffen sind, geht aus der Mitteilung nicht hervor.
Hintertür entsteht bei jedem Seitenaufruf neu
Die Schadsoftware kann Angreifern dauerhaften Zugriff auf betroffene Websites verschaffen und Zugangsdaten, API-Schlüssel und andere Secrets offenlegen. Laut Rank Math legt sie bei jedem Seitenaufruf eine versteckte Hintertür neu an, was eine manuelle Bereinigung erschwert. Zudem kann sie gefälschte WordPress-Kerndateien ablegen, die .htaccess-Dateien so verändern, dass .cache-Dateien als PHP-Code ausgeführt werden, entsprechende Dateien mit PHP-Code platzieren, geplante Aufgaben und Cronjobs anlegen sowie andere Plugins und Themes verändern. Auch Änderungen außerhalb der WordPress-Installation sind möglich.
Wiederherstellung aus Backup empfohlen
Wer Version 3.0.123 im betroffenen Zeitraum installiert und aktiviert hat, soll die Website laut Rank Math als kompromittiert betrachten und aus einem Backup wiederherstellen, das vor dem Vorfall erstellt wurde. Ist das nicht möglich, sollten Betreiber den Plugin-Ordner von Rank Math PRO löschen, einen schädlichen Datenbankeintrag entfernen, die Domain rank1cdn[.]com blockieren sowie verdächtige PHP-Dateien und unbekannte Administratorkonten entfernen.
Darüber hinaus sollten Betreiber SSH-Dateien vom Typ authorized_keys, Crontabs anderer Systembenutzer, verdächtige Prozesse und alle Verzeichnisse prüfen, auf die der Webserver-Benutzer Schreibzugriff hat. Erst nach erfolgreicher Bereinigung sollten alle Passwörter geändert und eine saubere Version des Plugins installiert werden.
(red)
