Rank Math PRO, de betaalde versie van de populaire WordPress SEO-plugin Rank Math, is getroffen door een supply-chain-aanval. Wie het pakket tussen 15 oktober 20:02 uur en 16 oktober 07:12 uur UTC rechtstreeks van rankmath.com downloadde of via een automatische update binnenkreeg, installeerde een besmette versie met een backdoor. Dat meldt Rank Math in een eigen beveiligingsbulletin.
Het gaat om versie 3.0.123. Rank Math heeft de besmette bestanden inmiddels verwijderd en een schone versie 3.0.124 uitgebracht. Het bedrijf zegt dat slechts een beperkt aantal gebruikers is geraakt, maar maakt geen concreet aantal bekend en licht ook de oorspronkelijke infectieroute niet toe. Navraag van BleepingComputer daarover leverde geen reactie op. De gratis versie van Rank Math, actief op meer dan 4 miljoen websites via WordPress.org, is niet geraakt.
Backdoor herstelt zichzelf
De malware onderscheidt zich door persistentie: de backdoor communiceert met het domein rank1cdn[.]com en bouwt zichzelf opnieuw op zodra iemand de besmette website bezoekt, ook nadat een deel van de kwaadaardige bestanden is verwijderd. Daardoor volstaat het niet om de plugin alleen te deactiveren of bij te werken. Via de backdoor kunnen databasegegevens, API-sleutels en andere geheimen die de webserver kan benaderen in handen van de aanvallers komen.
BleepingComputer vond op VirusTotal een los PHP-sample met dezelfde indicatoren: dezelfde XOR-obfuscatiesleutel, een vergelijkbare database-entry, een cron-job-marker en code die nieuwe beheerdersaccounts aanmaakt met de prefix “wpsupport_” en e-mailadressen op het domein wp-mail.net. Dat script fungeert vermoedelijk als eerste fase van een grotere aanval en plaatst onder meer het bestand wp-includes/class-wp-cache-util.php. Van daaruit kan het commando’s uitvoeren, databases aanpassen en inloggegevens stelen voor AWS, Cloudflare, Google Cloud en Azure, plus SSH-sleutels. BleepingComputer kon niet vaststellen of dit specifieke sample daadwerkelijk via de besmette Rank Math-update is binnengekomen.
Wat te doen
Rank Math-gebruikers die de PRO-versie in het genoemde venster hebben gedownload of geüpdatet, moeten ervan uitgaan dat hun site gecompromitteerd is. Zet de site het liefst terug vanaf een schone back-up van voor 15 oktober en draai daarna een beveiligingsscan. Is zo’n back-up er niet, ruim dan handmatig op: verwijder de volledige pluginmap en de kwaadaardige database-entries, controleer op extra backdoors, onbekende beheerdersaccounts, gewijzigde bestanden en geplande taken, en blokkeer uitgaand verkeer naar rank1cdn[.]com. Roteer sowieso alle wachtwoorden, API-sleutels en salts, ook na het terugzetten van een schone back-up. Wie de plugin wel heeft geïnstalleerd maar nooit heeft geactiveerd, loopt zelf geen risico, maar moet de map alsnog verwijderen, versie 3.0.124 downloaden en de site voor de zekerheid scannen.
Voor Nederlandse en Belgische WordPress-beheerders die met Rank Math PRO werken is dit vooral een controle die nu aandacht verdient, niet later: kijk in de gebruikerslijst naar accounts met de prefix wpsupport_, controleer de serverlogs op verkeer naar rank1cdn.com en vergelijk de huidige plugin-versie met 3.0.124.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u Rank Math PRO? Controleer of u de plugin tussen 15 en 16 oktober hebt gedownload of bijgewerkt. Is dat zo, update direct naar versie 3.0.124, controleer de gebruikerslijst op accounts met de prefix wpsupport_ en blokkeer verkeer naar rank1cdn.com.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.