WordPress SEO plugin Rank Math compromised to backdoor websites
BleepingComputer · 19 oct, 23:24
El plugin WordPress Rank Math PRO fue comprometido en un ataque a la cadena de suministro que distribuyó versiones maliciosas entre octubre 15 y 16. La versión 3.0.123 contenía malware que creaba backdoors persistentes, robaba credenciales de base de datos y claves API, y se comunicaba con servidores controlados por atacantes. Rank Math lanzó inmediatamente la versión limpia 3.0.124 y recomendó a los usuarios afectados restaurar desde copias de seguridad limpias y cambiar todas las credenciales.
El malware identificado en versiones comprometidas del plugin establece acceso persistente a través de múltiples mecanismos. Crea backdoors en wp-includes/class-wp-cache-util.php, genera cuentas de administrador con prefijo 'wpsupport_' y puede ejecutar comandos arbitrarios modificando bases de datos de WordPress. El análisis de BleepingComputer reveló un script PHP (cache-preloader-fff033.php) en VirusTotal con indicadores de compromiso idénticos: clave XOR 'xmmqhn', entrada de base de datos '_np5pvf754c', marcador cron '#ms6v46', y capacidad para robar credenciales de AWS, Cloudflare, Google Cloud, Azure y claves SSH.
Rank Math PRO es la versión de pago del plugin SEO activo en más de 4 millones de sitios WordPress; solo la versión de pago fue afectada durante la ventana de 11 horas. La empresa recomienda a usuarios sin copias de seguridad limpias realizar limpieza manual: eliminar la carpeta completa del plugin, borrar entradas maliciosas de la base de datos, buscar backdoors adicionales y cuentas no autorizadas, y bloquear conexiones salientes a rank1cdn[.]com. BleepingComputer no pudo confirmar el número de sitios potencialmente afectados ni el vector de ataque inicial.
Puntos clave
- Versión comprometida 3.0.123 distribuida entre 15-16 octubre; versión limpia 3.0.124 disponible
- Malware crea backdoors persistentes, roba credenciales y ejecuta comandos arbitrarios
- Indicadores de compromiso: XOR 'xmmqhn', entrada DB '_np5pvf754c', cron '#ms6v46'
- Limpieza requiere restaurar desde backup limpio o eliminar completamente el plugin e investigar backdoors adicionales
- Bloquear conexiones salientes a rank1cdn[.]com y rotar todas las credenciales
Figuras de la fuente
