Przejęte klucze Updraft Central Cloud wykorzystywane do ataków na strony WordPress
Odkryto przypadki wykorzystania przejętych kluczy Updraft Central Cloud do ataków na strony WordPress, co pozwala na instalację szkodliwych pluginów i tworzenie nieautoryzowanych kont użytkowników.
Na czym polega zagrożenie
Zagrożenie wynika z wycieku kluczy dostępu, które są wykorzystywane do zdalnego zarządzania stronami WordPress z zainstalowaną wtyczką UpdraftPlus. Przejęte klucze umożliwiają atakującym instalację szkodliwych pluginów oraz tworzenie kont użytkowników bez wiedzy administratora strony.
Jak się chronić
Aby chronić swoją stronę, należy niezwłocznie zaktualizować wtyczkę UpdraftPlus do wersji 1.26.13 (wersja bezpłatna) lub 2.26.13 (Premium), co unieważnia ujawnione klucze. Ponadto, zaleca się weryfikację systemów pod kątem śladów ataku, takich jak nieznane konta użytkowników, zainstalowane nieznane wtyczki, zapytania z podejrzanych adresów IP oraz wpisy w logach UpdraftPlus.
Ślady ataku
Wśród śladów ataku można wymienić:
- nieznane konta użytkowników
- zainstalowane nieznane wtyczki
- zapytania z adresów 43.250.53.42 lub 2a09:bac5:4e21:2e3c::49b:9
- wpisy w logach UpdraftPlus zawierające frazę Command received: plugin.upload_plugin
- zapytania w logach serwera WWW, w których User-Agent zawiera frazę class-udrpc.php
- niespodziewane awarie strony (kod 500) w ostatnim czasie
Źródło: Przejęte klucze Updraft Central Cloud wykorzystywane do ataków na strony WordPress