Stolen UpdraftCentral keys used to backdoor WordPress sites
BleepingComputer · 21 oct, 03:01
Qué hacer: Actualiza UpdraftPlus a versión 1.26.13 (gratuito) o 2.26.13 (Premium) o posterior, y elimina las claves UpdraftCentral en Configuración → Advanced Tools → UpdraftCentral → Manage existing keys.
TeamUpdraft, desarrolladora de complementos WordPress populares (UpdraftPlus con más de 4 millones de descargas), sufrió un acceso no autorizado a su infraestructura el fin de semana del 17-18 de octubre que comprometió la base de datos de clientes. Los atacantes obtuvieron las claves de conexión de UpdraftCentral, un servicio de gestión remota de sitios, que están siendo utilizadas para instalar backdoors en aproximadamente 400 000 sitios WordPress conectados y crear cuentas de administrador con privilegios completos.
TeamUpdraft detectó el acceso no autorizado y respondió de inmediato cerrando la ruta de entrada, revocando todas las sesiones y reemplazando las claves afectadas. Sin embargo, los atacantes ya habían accedido a información sensible de clientes: hashes de contraseñas, configuración de autenticación de dos factores y claves de conexión para UpdraftCentral, UpdraftVault y UpdraftClone. El proveedor confirmó que no almacenaba detalles de pago.
Patchstack reporta que los ataques comenzaron el 18 de octubre a las 15:32 UTC, instalando al menos 99 plugins backdoor con nombres que se hacen pasar por herramientas de mantenimiento de WordPress. Nethemba documentó una versión mejorada del backdoor que permite crear cuentas privilegiadas o acceder como administrador existente. El atacante accedió a través del canal remoto de UpdraftCentral usando claves privadas válidas del panel, sin explotar vulnerabilidades del servidor ni problemas de configuración. La versión inicial 1.26.12/2.26.12 no eliminó correctamente las claves, por lo que se requiere actualizar a 1.26.13 (gratuito) o 2.26.13 (Premium).
Puntos clave
- Aproximadamente 400 000 sitios WordPress con UpdraftCentral están potencialmente expuestos
- Actualiza UpdraftPlus a versión 1.26.13 (gratuito) o 2.26.13 (Premium) o posterior
- Elimina manualmente las claves UpdraftCentral en Configuración → Advanced Tools → UpdraftCentral → Manage existing keys
- Inspecciona registros y archivos usando los indicadores publicados por TeamUpdraft, Patchstack y Nethemba
- Si hay compromiso confirmado, restaura desde copias de seguridad limpias y restablece credenciales de TeamUpdraft
Figuras de la fuente
