شرکت TeamUpdraft اعلام کرد که در تاریخ ۱۷ تا ۱۸ اکتبر ۲۰۲۶، وب‌سایت teamupdraft.com مورد دسترسی غیرمجاز قرار گرفته است. بر اساس بررسی‌های انجام شده، مهاجمان موفق به دسترسی به پایگاه داده مشتریان شده‌اند که حاوی اطلاعات حساس از جمله کلیدهای اتصال (Connection Keys) مربوط به سرویس‌های UpdraftCentral، UpdraftVault و UpdraftClone و همچنین اطلاعات حساب‌های کاربری بوده است.
جزئیات حمله و نحوه سوءاستفاده
تحلیل‌های امنیتی نشان می‌دهد که مهاجمان از کلیدهای اتصال معتبر UpdraftCentral برای ارسال دستورات از راه دور (Remote Commands) به سایت‌های وردپرسی متصل استفاده کرده‌اند. این دستورات به مهاجمان اجازه می‌داد تا افزونه‌های مخرب (Malicious Plugins) را آپلود، فعال و یا حذف کنند. از آنجایی که درخواست‌ها با کلیدهای معتبر امضا شده بودند، افزونه UpdraftPlus حتی در نسخه‌های دارای وصله امنیتی نیز آن‌ها را به عنوان دستورات قانونی از سوی سرویس مدیریت از راه دور شناسایی و اجرا می‌کرد.
این حمله در واقع یک حمله زنجیره تأمین (Supply Chain Attack) محسوب می‌شود که در آن از اعتماد موجود بین سرویس ابری و سایت‌های متصل به آن سوءاستفاده شده است. مهاجمان با استفاده از دستور plugin.upload_plugin توانسته‌اند کدهای PHP مخرب را در سایت‌های هدف اجرا کنند که منجر به قابلیت اجرای کد از راه دور (RCE) می‌شود.
اقدامات ضروری برای مدیران و متخصصان SOC
اگر سایت شما از سرویس UpdraftCentral استفاده می‌کند، باید فوراً اقدامات زیر را انجام دهید:
- به‌روزرسانی فوری: افزونه UpdraftPlus خود را به نسخه 1.26.12 (نسخه رایگان) یا 2.26.12 (نسخه Premium) یا بالاتر ارتقا دهید. این نسخه‌ها به‌طور خودکار اتصالات قدیمی ایجاد شده قبل از حادثه را قطع می‌کنند.
- حذف کلیدهای اتصال: به مسیر
Settings > UpdraftPlus > Advanced Tools > UpdraftCentralدر پیشخوان وردپرس بروید و تمام کلیدهای موجود را حذف کنید. - تغییر اعتبارنامه‌ها: رمز عبور حساب TeamUpdraft خود را تغییر داده و در صورت امکان، تنظیمات احراز هویت دو مرحله‌ای (2FA) را بازنشانی کنید.
- بررسی ماندگاری (Persistence): مهاجمان ممکن است با استفاده از افزونه‌های مخرب، حساب‌های مدیر (Administrator) جدید ایجاد کرده یا سطح دسترسی کاربران عادی را به مدیر ارتقا داده باشند. حتماً لیست کاربران و افزونه‌ها را به‌صورت دستی و از طریق دیتابیس بررسی کنید.
شاخص‌های آلودگی (IoCs)
برخی از نشانه‌های شناسایی شده در این حمله عبارتند از:
- دستورات مشکوک در لاگ‌ها: دستورات
plugin.upload_pluginوplugin.delete_pluginکه از طریق کانال UpdraftCentral ارسال شده‌اند. - User-Agent مشکوک:
WordPress/6.4; class-udrpc.php - افزونه‌های مخرب با نام‌های تصادفی: مانند
Load Stack 35C،Text Gantry Eb0وstyle-bridge-8f5که معمولاً با توضیحات “Small maintenance toolkit: keeps option storage tidy” ظاهر می‌شوند.
هشدار: حذف یک افزونه مشکوک به تنهایی برای پاکسازی سایت کافی نیست؛ زیرا مهاجمان ممکن است از طریق ایجاد حساب‌های کاربری مخفی یا تغییر در فایل‌های هسته وردپرس، ماندگاری خود را حفظ کنند.
