WordPress向けSEOプラグイン「Rank Math」が侵害され、サイトにバックドアを設置

先週、WordPressプラグイン「Rank Math PRO」の一部ダウンロードにマルウェアが混入し、隠しバックドアが設置されるサプライチェーン攻撃が発生しました。ダウンロード元は開発元の公式サイトです。

開発元によると、バージョン3.0.123を10月15日20:02（UTC）から10月16日07:12（UTC）の間にダウンロードした一部のユーザーが、侵害されたバージョンを受け取りました。有効化すると、サイトが侵害されるおそれがあります。

「影響を受けたプラグインのファイルにはマルウェアが含まれており、プラグインを有効化するとサイトが侵害される可能性がありました」とRank Mathは警告しています。

「当社は影響を受けたファイルを直ちに削除し、クリーンなバージョンであるRank Math PRO v3.0.124を公開しました」

この約11時間の間にトロイの木馬化されたバージョンをインストールして有効化したユーザーは、サイトが侵害されたものとして扱い、開発元の告知にあるクリーンアップ手順に従う必要があります。

Rank Math PROは、検索結果での表示順位向上を支援するWordPress向けの検索エンジン最適化（SEO）プラグインです。無料版は400万以上のサイトで有効化されており、PROはその有料版にあたります。

開発元の告知は、侵害されたのはPRO版のみで、WordPress.orgで配布されている無料版のRank Math SEOは影響を受けていないと強調しています。

Rank Mathによると、このマルウェアは永続的なアクセスを確立し、「rank1cdn[.]com」と通信します。感染したサイトに誰かがアクセスするたびに、隠しバックドアを再作成します。

開発元は、侵害されたバージョンのRank Math PROをインストールしたユーザーについて、データベースの認証情報やAPIキー、そのほかWebサーバーからアクセスできる機密情報が露出すると警告しています。

BleepingComputerはこの攻撃を調査する中で、Rank Mathの侵害に関連するとみられる、「cache-preloader-fff033 (1).php」という名前のPHPマルウェアのサンプルをVirusTotalで発見しました。

このファイルはRank MathやWordfenceの告知では触れられていません。ただ、BleepingComputerが調べたところ、Rank Mathの警告に記載された侵害指標（IoC）と同じ指標が含まれていました。

このマルウェアは、第1段階のデプロイ用スクリプトとして動作し、Rank Mathの告知で言及されているバックドア「wp-includes/class-wp-cache-util.php」を作成するとみられます。

このPHPスクリプトには、コマンドの実行やWordPressデータベースの改ざんに加え、AWS、Cloudflare、Google Cloud、Azureの認証情報、SSH鍵、そのほかの機密情報を窃取する機能もあります。

これらのIoCから、Rank Mathへの攻撃と同じ攻撃者によるものとみられます。ただ、BleepingComputerは、侵害されたプラグイン経由で配布されたかどうかは確認できていません。

侵害が疑われるサイトの管理者は、クリーンなバックアップからサイトのファイルとデータベースを復元し、セキュリティスキャンを実行したうえで、すべてのパスワード、キー、ソルトを更新してください。

復元できる安全なバックアップがないサイトには、Rank Mathが手動でのクリーンアップを推奨しています。侵害後にプラグインを無効化または更新しても、脅威は除去されない点にも注意が必要です。

クリーンアップでは、まずプラグインのフォルダ全体と悪意あるデータベースエントリを削除します。そのうえで、追加のバックドア、不正な管理者アカウント、改ざんされたファイル、スケジュールされたタスク、WordPress外で起きた可能性のある変更を調べます。

攻撃者のドメイン「rank1cdn[.]com」への外部向け通信をすべてブロックすることも推奨されています。

プラグインをインストールしたものの有効化していないユーザーは、直ちに削除してください。その後、クリーンなバージョン3.0.124をダウンロードし、サイトをスキャンしてください。

BleepingComputerは、影響を受けた可能性のあるサイトの数や最初の侵入経路についてRank Mathに問い合わせました。しかし、記事公開時点で回答は得られていません。

関連記事