Ciertas descargas del plugin Rank Math PRO para WordPress obtenidas desde la página web oficial del fabricante incluían código malicioso capaz de implantar puertas traseras ocultas, en el marco de un ataque de cadena de suministro detectado la semana pasada. Según la empresa responsable del plugin, el alcance se limitó a quienes descargaron la versión 3.0.123 entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC, y que al activarla podían comprometer sus sitios web.
Advertencia del proveedor y versión limpia
Rank Math ha explicado que los archivos afectados contenían malware que podía comprometer el sitio si el plugin se activaba. La compañía retiró de inmediato esos archivos y publicó una versión limpia, Rank Math PRO v3.0.124. Quienes instalaron y activaron la versión troyanizada durante esas once horas deben considerar sus sitios comprometidos y seguir el procedimiento de limpieza recogido en el aviso del fabricante.
Rank Math PRO es un plugin de optimización para motores de búsqueda (SEO) que ayuda a mejorar la visibilidad de los sitios en los resultados de búsqueda. Se trata de la variante de pago de la versión gratuita, activa en más de cuatro millones de sitios web.
Material sensible expuesto
El aviso del proveedor subraya que solo quedó comprometida la versión PRO y que la versión gratuita de Rank Math SEO distribuida desde WordPress.org no se vio afectada. Según Rank Math, el malware establece un acceso persistente, se comunica con el dominio rank1cdn[.]com y vuelve a crear puertas traseras ocultas cuando alguien visita el sitio infectado. La empresa advierte de que instalar la versión comprometida de Rank Math PRO expone credenciales de bases de datos, claves de API y otros secretos accesibles al servidor web.
Durante la investigación del ataque, BleepingComputer localizó en VirusTotal una muestra de malware en PHP llamada 'cache-preloader-fff033 (1).php' que parece relacionada con el compromiso de Rank Math. Aunque ni el aviso de Rank Math ni el de Wordfence mencionan este archivo, BleepingComputer comprobó que contiene los mismos indicadores de compromiso (IoCs) incluidos en la alerta de Rank Math:
- La clave de ofuscación XOR 'xmmqhn'
- La entrada '_np5pvf754c' en la base de datos de WordPress
- El marcador de tarea cron '#ms6v46'
- Código para crear cuentas de administrador con el prefijo de usuario 'wpsupport_' y direcciones de correo '@wp-mail.net'
El malware parece funcionar como un script de despliegue de primera fase que crea la puerta trasera 'wp-includes/class-wp-cache-util.php' mencionada en el aviso de Rank Math. El script PHP también permite ejecutar comandos, modificar bases de datos de WordPress y robar credenciales de AWS, Cloudflare, Google Cloud y Azure, claves SSH y otra información sensible.
Aunque estos indicadores apuntan a que el archivo está vinculado al mismo actor de amenazas que el ataque a Rank Math, BleepingComputer no pudo confirmar si se distribuyó a través del plugin comprometido.
Recomendaciones de limpieza
Los administradores que sospechen un compromiso deben restaurar los archivos y la base de datos del sitio desde una copia de seguridad limpia, ejecutar análisis de seguridad y renovar todas las contraseñas, claves y sales.
Cuando no exista una copia de seguridad segura, Rank Math recomienda una limpieza manual y advierte de que desactivar o actualizar el plugin después de un compromiso no elimina la amenaza. La limpieza exige borrar por completo la carpeta del plugin y las entradas maliciosas de la base de datos antes de revisar otras puertas traseras, cuentas de administrador no autorizadas, archivos alterados, tareas programadas y posibles cambios fuera de WordPress. También se aconseja bloquear todas las conexiones salientes hacia el dominio del atacante rank1cdn[.]com.
Quienes instalaron el plugin pero nunca lo activaron deben eliminarlo ahora, descargar la versión limpia 3.0.124 y analizar después sus sitios. BleepingComputer se puso en contacto con Rank Math para conocer el número de sitios potencialmente afectados y el vector inicial del ataque, pero no había recibido respuesta en el momento de la publicación.
Deja una respuesta