شرکت Rank Math از وقوع یک حادثه امنیتی در رابطه با توزیع بدافزار از طریق نسخه 3.0.123 افزونه Rank Math PRO خبر داد. این حادثه می‌تواند منجر به سرقت اطلاعات حساس و ایجاد دسترسی‌های غیرمجاز در وب‌سایت‌های وردپرسی شود.
جزئیات حادثه و دامنه آسیب
این حادثه بر تعداد محدودی از کاربرانی که نسخه Premium این افزونه را بین تاریخ‌های 15 اکتبر 2023 (ساعت 20:02 UTC) تا 16 اکتبر 2023 (ساعت 07:12 UTC) دانلود کرده‌اند، تأثیر گذاشته است. لازم به ذکر است که نسخه رایگان این افزونه که از طریق WordPress.org ارائه می‌شود، تحت تأثیر قرار نگرفته و کاربران آن نیازی به انجام اقدام خاصی ندارند.
مکانیزم‌های ماندگاری (Persistence)
یکی از چالش‌های اصلی در پاکسازی این سرایت، مکانیزم‌های ماندگاری آن است. این بدافزار می‌تواند با هر بار بازدید از وب‌سایت آلوده، یک Backdoor مخفی مجدداً ایجاد کند. بنابراین، صرفاً غیرفعال کردن افزونه یا حذف فایل‌های مشکوک، برای رفع کامل تهدید و جلوگیری از بازگشت بدافزار کافی نیست.
راهنمای پاکسازی و بازیابی
مدیران سیستم برای بازیابی دستی باید مراحل زیر را با دقت طی کنند:
- حذف کامل دایرکتوری
rank-math-pro. - حذف ورودی‌های مخرب از جدول تنظیمات وردپرس (WordPress options table) شامل مقادیر
_uf6qdn2hmm،t8krdk990phbو_np5pvf754c. - مسدود کردن ارتباطات خروجی به دامنه
rank1cdn[.]comدر صورت امکان در سطح Firewall یا کنترل‌های هاستینگ.
همچنین توصیه می‌شود تمامی اطلاعات حساس از جمله رمزهای عبور وردپرس، اعتبارنامه‌های پایگاه داده (Database credentials)، کلیدهای API، توکن‌های پرداخت، اطلاعات دسترسی به هاست، FTP/SFTP، SSH و همچنین Secrets ذخیره شده در متغیرهای محیطی (Environment variables) بازنشانی (Reset) شوند.
شاخص‌های آلودگی (IoCs)
بر اساس گزارش فنی، موارد زیر نشانه‌های فعالیت مخرب هستند:
- فایل‌های PHP مشکوک در پوشه‌های
must-use plugins، سایر دایرکتوری‌های افزونه‌ها و پوشه‌های غیرپیش‌فرض قالب (Theme). - استفاده از کدهای
base64_decodeهمراه با حلقه‌هایXOR، کلیدxmmqhn، دستورproc_openو کدهای مربوط بهPHP-FPM socket. - ایجاد حساب‌های مدیر (Administrator) غیرمجاز با پیشوند
wpsupport_. - وجود فایل جعلی
wp-includes/class-wp-cache-util.php. - وجود قوانین مشکوک در فایل
.htaccessکه اجرای PHP را در فایل‌های.cacheفعال می‌کنند.
