UpdraftPlus na WordPressie? Wykradzione klucze UpdraftCentral służą do włamań – CERT Polska radzi, co sprawdzić

Masz stronę na WordPressie i robisz kopie zapasowe wtyczką UpdraftPlus? Sprawdź ją dziś. CERT Polska ostrzega, że wykradzione klucze usługi UpdraftCentral posłużyły do włamań na witryny: przestępcy instalowali na nich ukryte wtyczki i zakładali własne konta.

Co się stało

UpdraftPlus to najpopularniejsza wtyczka do kopii zapasowych WordPressa, z ponad czterema milionami aktywnych instalacji. Ten sam producent, TeamUpdraft, prowadzi usługę UpdraftCentral do zdalnego zarządzania wieloma stronami z jednego panelu. W weekend 17–18 października napastnik dostał się do serwisu teamupdraft.com i, jak przyznaje firma, prawdopodobnie do bazy klientów. Były w niej m.in. imiona i nazwiska, adresy e-mail, historia zamówień, zahaszowane hasła oraz klucze połączeń UpdraftCentral.

To właśnie te klucze okazały się najcenniejsze. Strona połączona z UpdraftCentral wykonuje każde poprawnie podpisane polecenie z panelu, bez dodatkowego potwierdzania. Według analizy firmy Patchstack od 18 października po południu do rana 19 października atakujący masowo wysyłał na strony polecenie instalacji wtyczki. Każda taka wtyczka była tylną furtką, a do tego miała blisko sto różnych, niewinnie brzmiących nazw w stylu „Site Health Cache” czy „Speed Kit”. W komunikacie z 27 października CERT Polska potwierdza, że przejęte klucze są wykorzystywane do ataków, i podaje wskazówki dla administratorów.

Dlaczego to groźne

Furtka tworzyła konto, które w panelu wygląda jak zwykły „Redaktor”, ale ma ukryte uprawnienia do zmiany ustawień i instalowania wtyczek, czyli w praktyce pełną kontrolę nad stroną. Logowanie odbywało się z pominięciem formularza, więc nie chroniło przed nim nawet uwierzytelnianie dwuskładnikowe. Konto zostaje w systemie także po usunięciu samej wtyczki. Ważne: nie trzeba świadomie korzystać z UpdraftCentral, żeby mieć aktywny klucz. Przy łączeniu wtyczki z kontem TeamUpdraft pole „dodaj stronę do UpdraftCentral” było domyślnie zaznaczone.

Co zrobić teraz

• Zaktualizuj UpdraftPlus do wersji 1.26.13 (darmowa) lub 2.26.13 (Premium) albo nowszej. Ta wersja unieważnia stare klucze. Samo usunięcie strony z panelu UpdraftCentral nie wystarczy.
• Usuń klucze UpdraftCentral w ustawieniach wtyczki (Ustawienia → UpdraftPlus → Narzędzia zaawansowane → UpdraftCentral), jeśli nie korzystasz ze zdalnego zarządzania.
• Przejrzyj użytkowników, nie tylko administratorów. Podejrzane są konta o nazwie wyświetlanej „Site Tools”, loginy w stylu dwóch słów i dwóch cyfr oraz adresy e-mail w domenach example.com lub example.org.
• Sprawdź wtyczki, także w zakładce „Obowiązkowe” (mu-plugins). Najpewniej zrobić to z poziomu plików na serwerze, bo część wtyczek może nie być widoczna w panelu.
• Zajrzyj do logów UpdraftPlus i serwera. Nagłe błędy 500 w ostatnich dniach to sygnał ostrzegawczy, bo pierwsze wersje furtki miały błąd, który wywracał stronę.
• Zmień hasła do kont administratorów i do konta na teamupdraft.com, a jeśli to samo hasło jest używane gdzie indziej, zmień je też tam.

Jeśli znajdziesz ślady włamania, CERT Polska zaleca przywrócenie strony z kopii zapasowej sprzed 17 października, zmianę wszystkich haseł i dokładne sprawdzenie plików oraz uprawnień. Brak oczywistych śladów nie daje gwarancji, że strona nie była celem ataku.

Co to oznacza dla polskich firm i blogerów

WordPress obsługuje ogromną część polskich stron firmowych, sklepów i blogów, a UpdraftPlus często instaluje się „na start” razem z motywem. Wiele takich witryn prowadzą agencje albo freelancerzy, którzy zarządzają dziesiątkami stron naraz, i to właśnie oni powinni sprawdzić wszystkie, także te od dawna nieaktualizowane. Przejęta strona może rozsyłać spam, przekierowywać na oszustwa albo wykradać dane klientów, co oznacza także problem z RODO i zgłoszeniem naruszenia. Dodatkowo uważaj na e-maile „od TeamUpdraft”: wyciek adresów to idealna pożywka dla phishingu.

Włamanie zgłosisz do CERT Polska przez formularz na incydent.cert.pl.

Źródło: CERT Polska – „Przejęte klucze Updraft Central Cloud wykorzystywane do ataków na strony WordPress”, TeamUpdraft – komunikat o incydencie, Patchstack – analiza ataku

Artykuł zredagowany przy pomocy AI.