Суть инцидента и механизм атаки
Для владельца сайта это означало, что даже при своевременных обновлениях и сложных паролях, ресурс мог быть скомпрометирован через внешний сервис плагина. Атака не требовала взлома паролей или эксплуатации багов - хакеры использовали легальный механизм удаленного управления с украденными учетными данными.
Действия злоумышленников и установка бэкдоров
Patchstack идентифицировал 99 имен для маскировки вредоносных плагинов, например: * Site Health Cache * Performance Optimizer * Security Scanner Имена напоминали легитимные инструменты, усложняя обнаружение при ручном просмотре. В коде плагинов была ошибка, из-за которой многие сайты выдавали серверные ошибки до активации бэкдора, но это не отменяло угрозы.
Ответ разработчика и необходимые меры
Владельцам сайтов необходимо не только обновить плагин, но и провести аудит. Проблема усугублялась тем, что подключение сайта к аккаунту TeamUpdraft могло автоматически создавать соединение с UpdraftCentral, так как опция была включена по умолчанию. Даже те, кто использовал UpdraftPlus только для резервного копирования, могли иметь активные и уязвимые ключи. После обновления плагина проверьте список пользователей на наличие подозрительных аккаунтов с ролью "Редактор", просмотрите установленные плагины на предмет неизвестных дополнений из списка Patchstack и убедитесь, что все соединения с UpdraftCentral разорваны. Пересмотрите настройки удаленного управления в других плагинах и сервисах, отключив неиспользуемые функции.
