UpdraftCentral-Schlüssel missbraucht: Angreifer installieren Hintertüren auf WordPress-Seiten
TeamUpdraft meldet einen unbefugten Zugriff auf seine Website, bei dem Angreifer möglicherweise Verbindungsschlüssel für UpdraftCentral, UpdraftVault und UpdraftClone erbeuteten. Während einer Kampagne am 18. und 19. Oktober wurden gültige UpdraftCentral-Schlüssel laut Sicherheitsforschern verwendet, um Backdoor-Plugins auf verbundenen WordPress-Seiten zu installieren. Für Betreiber ist damit nicht nur ein kompromittiertes Anbieter-Konto relevant: Eine missbrauchte Fernverwaltungsverbindung kann direkt Änderungen an der angeschlossenen Website ermöglichen.
Betroffen sein können vor allem WordPress-Installationen mit aktivem UpdraftPlus Free oder Premium und einer aktiven Verbindung zum cloudbasierten UpdraftCentral. TeamUpdraft erklärt zugleich, dass das UpdraftPlus-Plugin selbst, selbst gehostete UpdraftCentral-Installationen und Sicherungen im eigenen Remote-Speicher nicht betroffen seien. Diese Abgrenzung ersetzt jedoch keine Prüfung: Wer UpdraftCentral eingesetzt hat, sollte die Verbindung als potenziellen Angriffsweg behandeln.
Die Angreifer konnten über die Fernsteuerung Plugin-Befehle an verbundene Seiten senden. Beobachtet wurden zahlreiche wechselnde Plugin-Namen, darunter „Site Health Cache“, „Asset Forge 2“ und „Content Helper“. Zusätzlich wurden unbekannte WordPress-Konten angelegt. Ein solches Konto kann auch nach dem Entfernen des Backdoor-Plugins bestehen bleiben; deshalb reicht es nicht aus, nur die Plugin-Liste zu bereinigen.
TeamUpdraft hat die betroffenen Schlüssel und Zugangsdaten ersetzt, Konten abgemeldet und UpdraftPlus 1.26.13 für die kostenlose sowie 2.26.13 für die Premium-Version veröffentlicht. Diese Versionen trennen ältere UpdraftCentral-Verbindungen automatisch. Betreiber sollten UpdraftPlus direkt im eigenen WordPress-Dashboard aktualisieren und die UpdraftCentral-Verbindung dort löschen. Danach müssen sie die Verbindung nur dann neu einrichten, wenn sie den Dienst weiter verwenden wollen.
Für die Prüfung empfiehlt TeamUpdraft, unbekannte Administrator- und Plugin-Einträge zu entfernen, die Passwörter aller Administratoren zu ändern und bei verdächtigen Funden eine Wiederherstellung aus einer Sicherung vor dem 17. Oktober in Betracht zu ziehen. Wer UpdraftCentral für den Zugriff auf Remote-Speicher verwendet hat, sollte diesen außerdem neu autorisieren und die betreffenden Speicherzugangsschlüssel ändern. Die Prüfung sollte über das lokale WordPress-Dashboard erfolgen, nicht über UpdraftCentral.
Auch das TeamUpdraft-Konto selbst verdient Aufmerksamkeit: Nutzer sollen ihr Passwort umgehend ändern, wiederverwendete Passwörter an anderen Stellen ebenfalls ersetzen und die Zwei-Faktor-Authentifizierung zurücksetzen. Unerwartete Nachrichten, die sich auf den Vorfall beziehen, sollten mit Vorsicht behandelt werden. Die Empfehlungen sind besonders wichtig, weil die kompromittierten Schlüssel Befehle an verbundene Websites senden konnten.