Una grave vulnerabilità ha colpito la versione PRO del popolare plugin WordPress Rank Math, esponendo i siti a un malware sofisticato. Vengono fornite indicazioni dettagliate per la pulizia e il recupero.
Un recente incidente di sicurezza ha interessato la versione premium del plugin Rank Math PRO per WordPress, uno strumento ampiamente utilizzato per l'ottimizzazione SEO. La versione compromessa, identificata come 3.0.123, è stata distribuita con un malware che, una volta attivato, può portare a infezioni persistenti e difficili da eradicare.
L'attacco ha colpito specificamente i siti che hanno scaricato e attivato la versione PRO del plugin tra il 15 ottobre 2023 (ore 20:02 UTC) e il 16 ottobre 2023 (ore 07:12 UTC). È importante sottolineare che la versione gratuita del plugin, disponibile tramite il repository ufficiale di WordPress.org, non è stata interessata e non richiede alcuna azione da parte degli utenti.
Il malware introdotto è particolarmente insidioso a causa dei suoi meccanismi di persistenza. Una volta che un sito è stato infettato, il codice malevolo è in grado di ricreare un backdoor nascosto ogni volta che il sito viene visitato. Questo rende inefficaci i tentativi di pulizia superficiali, come la semplice disattivazione del plugin o la rimozione di singoli file sospetti.
Per una rimozione completa, gli amministratori devono seguire procedure precise. Il primo passo consiste nell'eliminare interamente la directory rank-math-pro e rimuovere voci malevole dalla tabella delle opzioni di WordPress. Le voci specifiche da cercare e cancellare nella tabella wp_options (o simile, a seconda della configurazione) includono _uf6qdn2hmm, t8krdk990phb e _np5pvf754c.
Rank Math raccomanda inoltre di bloccare le connessioni in uscita verso l'indirizzo rank1cdn[.]com tramite controlli sul firewall o sul server, se possibile.
L'analisi dei file sospetti può rivelare indicatori chiave come l'uso combinato di base64_decode con cicli XOR, la chiave xmmqhn, la funzione proc_open e codice relativo ai socket PHP-FPM. Questi elementi potrebbero trovarsi in file PHP all'interno della directory dei plugin, in particolare nella sottodirectory includes di Rank Math, ma anche in cartelle di temi non predefiniti o nella directory dei plugin "must-use" (mu-plugins).
Ulteriori aree di indagine includono la verifica di account amministratore non autorizzati che iniziano con il prefisso wpsupport_, indirizzi email che terminano con @wp-mail[.]net e la presenza di un file contraffatto denominato class-wp-cache-util.php nella directory wp-includes.
È fondamentale controllare anche le regole del file .htaccess che potrebbero abilitare l'esecuzione di codice PHP all'interno di file con estensione .cache e ispezionare le voci del cron job di sistema contrassegnate con #ms6v46.
Rank Math avvisa che le organizzazioni colpite dovrebbero presumere che le informazioni sensibili accessibili dal sito compromesso possano essere state esposte. Sebbene non vi sia conferma di furto di credenziali in ogni caso, è imperativo procedere con una rotazione completa delle password e delle chiavi di accesso.
Le raccomandazioni per il recupero includono:
Il metodo di recupero più sicuro e consigliato è il ripristino del sito da un backup pulito creato prima della data e ora dell'infezione (15 ottobre 2023, ore 20:02 UTC). Dopo il ripristino, è necessario eseguire scansioni di sicurezza, sostituire le credenziali e installare la versione aggiornata e pulita del plugin (3.0.124).
Per gli utenti che non dispongono di backup adeguati, la rimozione dei meccanismi di persistenza è il primo passo, seguita da un'indagine approfondita per individuare eventuali altre modifiche malevole.
Dopo la pulizia, si consiglia di eseguire i comandi wp core verify-checksums e wp plugin verify-checksums --all per verificare l'integrità dei file di WordPress e dei plugin. È inoltre utile utilizzare strumenti di sicurezza affidabili, monitorare il traffico in uscita per attività sospette e controllare la ricomparsa di file eliminati.
Al momento, gli autori dell'attacco e le modalità esatte con cui i file di distribuzione sono stati compromessi non sono stati resi noti, né è stato quantificato il numero esatto di installazioni interessate. Gli utenti che hanno scaricato la versione compromessa ma non l'hanno attivata dovrebbero semplicemente rimuoverla, installare la versione pulita e procedere con una scansione di sicurezza.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
