اختراق TeamUpdraft: مفاتيح UpdraftCentral المسروقة تُستخدم لزرع أبواب خلفية في مواقع WordPress

أعلنت TeamUpdraft، مطوّرة إضافة النسخ الاحتياطي UpdraftPlus وأدوات WordPress المرتبطة بها، أنها اكتشفت وصولاً غير مصرح به إلى موقعها خلال عطلة 17 و18 أكتوبر. وقد أغلقت مسار الدخول، وأنهت جلسات جميع الحسابات، واستبدلت المفاتيح وبيانات الاعتماد التي ربما تأثرت.

ما الذي انكشف

ترجّح الشركة أن المهاجم وصل إلى قاعدة بيانات العملاء، وهي تضم بيانات العملاء والفوترة وسجل الطلبات وتجزئات كلمات المرور وإعدادات المصادقة الثنائية ومفاتيح الاتصال لخدمات UpdraftCentral وUpdraftVault وUpdraftClone. وتؤكد أنها لا تخزّن بيانات الدفع، وأن ملفات UpdraftPlus وتنزيلاتها لم تتأثر، وأن نسخ UpdraftCentral المستضافة ذاتياً غير متأثرة.

استغلال فعلي

تفيد Patchstack بأن المهاجمين يستخدمون المفاتيح المسروقة ضد المواقع المرتبطة بـ UpdraftCentral، وقد بدأ النشاط في 18 أكتوبر. وتنفّذ الهجمات تعليمات برمجية عشوائية وتضيف حسابات مدير. وسُجلت 99 إضافة خبيثة على الأقل متخفية في هيئة أدوات صيانة أو تحسين. ووثّقت Nethemba هجمات على ثلاثة من مواقعها، نجح تثبيت إضافة خبيثة في اثنين منها، وأشارت إلى أن الأوامر وُقّعت بمفاتيح صالحة دون استغلال ثغرة. كما ذكرت أن الإصدار الأول من الإصلاح 1.26.12/2.26.12 لم يحذف المفاتيح السحابية بسبب خطأ برمجي.

ويُقدَّر أن نحو 10% من مواقع UpdraftPlus لديها مفتاح UpdraftCentral أو Migrator، ما قد يعرّض نحو 400,000 موقع للخطر.

على الجهات التي تدير مواقع WordPress عبر UpdraftCentral اعتبار المفاتيح مخترقة والتحرك دون انتظار ظهور مؤشرات اختراق.