W weekend 17–18 października włamano się do systemów firmy TeamUpdraft, twórców UpdraftPlus – jednej z najpopularniejszych wtyczek do kopii zapasowych WordPressa. Atakujący wykradli klucze UpdraftCentral (panelu do zdalnego zarządzania stronami) i dane klientów, a od 18 października używali kluczy, żeby po cichu instalować na stronach ukryte wtyczki-furtki.
Furtka zakłada konto z uprawnieniami administratora, które omija logowanie i weryfikację dwuetapową. Stan na 28 października: śledztwo trwa, sprawą zajmuje się policja i zewnętrzna firma, a liczba zainfekowanych stron wciąż nie jest znana. Mowa nawet o kilkuset tysiącach witryn, które mogły mieć taki klucz.
Kogo to dotyczy?
Stron z UpdraftPlus, które kiedykolwiek połączono z UpdraftCentral albo kontem TeamUpdraft. Opcja była domyślnie zaznaczona, więc wielu właścicieli nawet nie wie, że ich strona miała taki klucz. Użytkownicy wersji Premium powinni sprawdzić strony nawet wtedy, gdy nigdy nie korzystali z UpdraftCentral.
Ważne: poprawiona wersja wtyczki (1.26.13, Premium 2.26.13) trafiła już do wszystkich przez WordPress.org, ale nie usuwa furtek, które zdążyły trafić na stronę.
Co sprawdzić na stronie
- Zaktualizować UpdraftPlus do wersji 1.26.13 (Premium: 2.26.13) lub nowszej i usunąć klucze UpdraftCentral w ustawieniach wtyczki.
- Przejrzeć listę wtyczek, także w zakładce „Must-Use” – podejrzane są nazwy w rodzaju „Site Health Cache”.
- Przejrzeć użytkowników. Powtarzający się ślad to nowe konta z rolą „Redaktor”, np. z adresem w domenie @example.org.
- Jeśli coś wygląda podejrzanie – przywrócić kopię sprzed 18 października, zmienić wszystkie hasła i wylogować wszystkie sesje.
Sprawdź, czy kopie zapasowe w ogóle się robią
Po incydencie UpdraftVault rozłączył wszystkie strony. Bez ponownego połączenia kopie mogą się po cichu nie wykonywać – a o tym zwykle dowiadujemy się dopiero wtedy, gdy kopia jest potrzebna.
- Ponownie podłączyć UpdraftVault i zrobić ręczną kopię próbną.
- Zmienić hasło do konta na teamupdraft.com (i to samo hasło w innych serwisach, jeśli było używane gdzie indziej).
- Uważać na e-maile „od TeamUpdraft” – firma nie prosi o hasła ani klucze.
Nie wiesz, jak to sprawdzić, albo coś Cię zaniepokoiło? Zrobię audyt bezpieczeństwa i kopii zapasowych (od 200 zł netto), a w razie potrzeby usunę furtki i złośliwy kod (od 500 zł netto, zależnie od zakresu). Napisz do mnie.