Rank Mathは、Rank Math PRO のバージョン3.0.123を通じてマルウェアが配布されたセキュリティインシデントを報告しました。
Cybersecuritynews platform
同社は、管理者がこの侵害されたプラグインを有効化していた場合、このプラグインを使用しているWordPressサイトが危険にさらされると警告しています。同社は影響を受けたファイルを削除し、クリーンなバージョン3.0.124を公開しました。
侵害されたRank Math PRO
影響を受けるのは、2023年10月15日20:02（UTC）から2023年10月16日07:12（UTC）の間に有償プラグインをダウンロードした一部のユーザーです。
Rank Mathは、WordPress.orgで提供している無料のSEOプラグインは影響を受けておらず、そのユーザーは対応不要であると確認しています。
アドバイザリーでは、復旧作業を難しくする永続化の仕組みについても説明しています。このマルウェアは、感染したサイトに誰かがアクセスするたびに、隠しバックドアを再生成できます。そのため、プラグインを無効化したり、不審なファイルを個別に削除したりするだけでは、侵害を完全に解消できません。
手動で復旧する管理者は、まずrank-math-proディレクトリ全体を削除し、WordPressのoptionsテーブルから悪意あるエントリを除去する必要があります。
削除対象のoption_nameは、_uf6qdn2hmm、t8krdk990phb、_np5pvf754cです。Rank Mathはあわせて、ホスティングやファイアウォールの設定で可能であれば、rank1cdn[.]comへの外部向け通信をブロックするよう推奨しています。
アドバイザリーによると、不審なPHPファイルは、must-useプラグイン、その他のプラグインディレクトリ、デフォルト以外のテーマフォルダ、Rank Mathのincludesディレクトリで見つかっています。確認すべき主なコード上の特徴は、XORループと組み合わせたbase64_decode、キーxmmqhn、proc_open、PHP-FPMソケットのコードです。
このほか、wpsupport_で始まる不正な管理者アカウント、@wp-mail[.]netで終わるメールアドレス、偽のWordPressコアファイルwp-includes/class-wp-cache-util.phpも調査対象となります。
アドバイザリーは、.cacheファイルでのPHP実行を有効にする.htaccessのルールを確認し、#ms6v46のタグが付いたシステムのcronエントリを調べるよう、管理者に求めています。
Rank Mathは、影響を受けた組織に対し、侵害されたサイトからアクセス可能だった機密情報が漏えいした可能性があるものとして対応するよう勧めています。
この措置は、影響を受けたすべての環境で認証情報が窃取されたと断定するものではありません。ただ、認証情報を広範囲に更新する必要性を強調しています。
復旧ガイダンスでは、WordPressのパスワード、データベースの認証情報、セキュリティキーとソルト、APIトークン、決済ゲートウェイのキー、SMTP認証情報、ホスティングへのアクセス情報、FTP/SFTP、SSH認証情報、環境変数に保存されたシークレットの変更を挙げています。二要素認証の設定も確認し、必要に応じてリセットすべきです。
推奨される復旧方法は、2023年10月15日20:02（UTC）より前に作成したクリーンなバックアップから、サイトのファイルとデータベースを復元することです。
復元後、管理者はセキュリティスキャンの実施、認証情報の交換、バージョン3.0.124のインストールを行う必要があります。適切なバックアップがないユーザーは、ほかに悪意ある変更がないか調べる前に、永続化の仕組みを除去しなければなりません。
Cybersecuritynews platform
クリーンアップ後、管理者はwp core verify-checksumsとwp plugin verify-checksums –allを実行し、信頼できるセキュリティツールでスキャンしてください。再発しないか、外部向け通信と削除されたファイルの監視も欠かせません。有償プラグインには公開チェックサムがない場合があり、クリーンな公式パッケージとの比較が必要になります。
アドバイザリーは、攻撃者の特定、配布ファイルが侵害された経緯の説明、影響を受けたインストール数の推定のいずれも行っていません。汚染されたバージョンをインストールしただけで有効化していないユーザーは、そのバージョンを削除し、クリーンなリリースをインストールしてスキャンを実行してください。ダウンロードしただけでは、サイトが侵害されたことにはならないためです。
平均対応時間（MTTR）を21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
翻訳元: https://gbhackers.com/rank-math-pro-wordpress-plugin-compromised/
