if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants ont utilisé les informations d’identification UpdraftCentral exposées pour installer des plugins malveillants et établir un accès persistant sur les sites WordPress connectés.
endif; ?>
Les attaquants utilisent des clés de connexion volées exposées dans une faille de sécurité TeamUpdraft pour installer des plugins malveillants sur les sites WordPress concernés et établir un accès persistant. Les sites déjà compromis peuvent rester menacés même après la révocation des informations d’identification exposées.
Les attaques faisaient suite à un accès non autorisé au site Web de TeamUpdraft. La société, qui développe le plugin de sauvegarde UpdraftPlus et les services de gestion WordPress associés, a confirmé que sa base de données clients avait probablement été consultée.
L’incident a révélé des informations potentiellement sensibles, notamment les clés de connexion utilisées par UpdraftCentral, un service qui permet aux administrateurs de gérer plusieurs sites WordPress à distance.
TeamUpdraft indique avoir fermé la voie d’accès et publié les versions UpdraftPlus 1.26.13 et 2.26.13 pour ses utilisateurs gratuits et Premium, respectivement, afin de révoquer les anciennes connexions UpdraftCentral Cloud. Cependant, la société de sécurité WordPress PatchStack a signalé que les attaquants avaient déjà utilisé les informations d’identification exposées pour exécuter des commandes sur des sites connectés et installer des plugins malveillants.
Le plugin UpdraftPlus lui-même et ses téléchargements n’ont pas été compromis, a déclaré la société dans un article de blog, ajoutant que les sauvegardes stockées dans le stockage distant des clients, notamment Google Drive, Dropbox et Amazon S3, n’étaient pas non plus affectées.
« Cependant, si votre site a été accédé via UpdraftCentral, veuillez également réautoriser votre stockage distant et modifier les clés d’accès au stockage, par mesure de précaution », ajoute-t-il.
UpdraftPlus a dépassé les quatre millions d’installations WordPress actives en octobre, bien que seuls les sites connectés à UpdraftCentral via une clé active soient exposés à cette attaque particulière.
Des clés volées ont permis l’accès au site distant
Des attaquants ont été vus utilisant les informations d’identification UpdraftCentral exposées pour émettre des commandes vers des sites WordPress connectés. Patchstack a observé des attaques à partir du 18 octobre, avec des plugins malveillants pour établir un accès persistant et créer des comptes avec des privilèges administratifs.
Les chercheurs de Patchstack ont identifié au moins 99 variantes de plugins malveillants, certains déguisés en outils de maintenance ou d’optimisation de routine. Nethemba, une société de sécurité d’applications Web, a signalé que des attaquants ont ciblé trois de ses sites WordPress via le canal de gestion à distance et ont réussi à installer des plugins malveillants sur deux d’entre eux.
Certaines variantes de portes dérobées peuvent créer des comptes privilégiés ou s’authentifier en tant qu’administrateurs existants, tandis que d’autres sont conçues pour échapper à la détection dans les écrans d’administrateur standard de WordPress. La révocation de la clé de connexion d’origine ne supprime pas automatiquement les plugins malveillants, les comptes ou les sessions actives créés lors d’une attaque, ont indiqué les chercheurs.
Les administrateurs WordPress font face à un travail de nettoyage
TeamUpdraft a déconnecté les comptes clients, réinitialisé la sécurité de connexion, remplacé les informations d’identification UpdraftVault et UpdraftClone et introduit une surveillance supplémentaire. Il a également signalé l’incident au bureau du commissaire à l’information du Royaume-Uni et à d’autres autorités compétentes.
Les bases de données clients potentiellement consultées contenaient des noms, des adresses e-mail et de facturation, des historiques de commandes, des hachages de mots de passe, des paramètres d’authentification à deux facteurs et des clés de connexion au service. « Nous ne stockons aucun détail de carte. Tous les paiements par carte sont traités par Stripe et PayPal », a précisé la société.
Il a été conseillé aux administrateurs utilisant UpdraftCentral Cloud de mettre à jour vers des versions UpdraftPlus plus sûres et d’inspecter directement chaque site connecté. Les vérifications recommandées incluent la suppression des clés de connexion UpdraftCentral restantes, l’examen des comptes d’administrateur et des plugins installés, la modification des mots de passe d’administrateur et l’examen des journaux à la recherche d’activités suspectes.
Les sites présentant des signes de compromission devront peut-être être restaurés à partir d’une sauvegarde vérifiée créée avant le 17 octobre, suivie d’une rotation des informations d’identification et de contrôles d’intégrité. TeamUpdraft recommande de modifier les mots de passe des comptes et de réinitialiser l’authentification à deux facteurs, le cas échéant.
