TeamUpdraft, de ontwikkelaar achter de populaire WordPress-back-upplugin UpdraftPlus, is gehackt. Aanvallers bemachtigden daarbij verbindingssleutels waarmee op afstand commando’s naar gekoppelde WordPress-sites kunnen worden gestuurd, en gebruiken die sleutels inmiddels actief om sites te voorzien van een backdoor.
TeamUpdraft ontdekte in het weekend van 17 en 18 oktober ongeautoriseerde toegang tot zijn eigen website teamupdraft.com en gaat ervan uit dat de aanvaller de klantendatabase heeft ingezien. Die bevatte wachtwoord-hashes, 2FA-instellingen en verbindingssleutels voor UpdraftCentral, UpdraftVault en UpdraftClone, de diensten waarmee UpdraftPlus-gebruikers sites op afstand beheren, back-ups in de cloud opslaan en staging-omgevingen opzetten. Betaalgegevens stonden er niet in, en de UpdraftPlus-plugin en de downloads daarvan zijn niet geraakt. Zelfgehoste UpdraftCentral-installaties vallen buiten dit incident, dat alleen de cloudversie van de dienst betreft.
UpdraftPlus telt ruim 4 miljoen installaties. Patchstack schat dat zo’n 10 procent daarvan een UpdraftCentral- of Migrator-sleutel heeft gekoppeld, wat in potentie 400.000 websites blootstelt, en trof al minstens 99 kwaadaardige plugins aan die via de gestolen sleutels zijn geïnstalleerd, vermomd onder namen als “Site Health Cache” om op onderhoudssoftware te lijken. Beveiligingsbedrijf Nethemba meldt dat drie van de eigen sites werden benaderd, waarvan er twee daadwerkelijk een kwaadaardige plugin kregen. Volgens Patchstack begonnen de aanvallen op 18 oktober rond 15:32 UTC.
Aanvallers sturen commando’s via het UpdraftCentral-kanaal, ondertekend met de gestolen dashboardsleutels, waardoor WordPress ze als legitiem accepteert. Zo installeren ze de kwaadaardige plugins en maken ze nieuwe beheeraccounts aan, of loggen in als bestaande beheerder. Een eerste, door Patchstack onderzochte versie van de aanvalscode werkte door een fout niet altijd, maar Nethemba trof inmiddels een verbeterde, betrouwbaardere variant aan. Er is geen CVE-nummer aan dit incident gekoppeld: het gaat niet om een lek in de plugincode, maar om misbruik van sleutels die bij de inbraak op teamupdraft.com zijn buitgemaakt.
Gebruikt u UpdraftPlus met UpdraftCentral gekoppeld, update dan naar versie 1.26.13 (gratis) of 2.26.13 (Premium) of nieuwer; een eerdere release liet die sleutels door een bug onterecht actief staan. Verwijder daarna via Instellingen > UpdraftPlus Backups > Advanced Tools > UpdraftCentral de bestaande verbindingssleutels per site en koppel desgewenst opnieuw. Heeft u ook opslag via UpdraftCentral gekoppeld, roteer dan die inloggegevens. Controleer uw site op onbekende plugins en nieuwe beheeraccounts aan de hand van de IOC’s die TeamUpdraft, Patchstack en Nethemba hebben gepubliceerd. Vindt u sporen van misbruik, herstel dan vanaf een schone back-up van vóór 17 oktober, wijzig uw TeamUpdraft-wachtwoord, trek actieve sessies in en reset tweefactorauthenticatie.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt u UpdraftPlus met UpdraftCentral gekoppeld? Update naar 1.26.13/2.26.13 of nieuwer, verwijder en vervang uw bestaande verbindingssleutels en controleer uw site op onbekende plugins en beheeraccounts.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.