WordPress SEO 插件 Rank Math 遭入侵，被用于植入网站后门

上周发生的一起供应链攻击中，从厂商官方网站下载的部分 Rank Math PRO WordPress 插件携带了恶意软件，会在网站中植入隐藏后门。

据厂商称，在 10 月 15 日 20:02 UTC 至 10 月 16 日 07:12 UTC 期间下载该插件 3.0.123 版本的少数用户收到了被篡改的版本，激活后可能危及其网站。

"受影响的插件文件包含恶意软件，如果插件被激活，可能危及您的网站，"Rank Math 警告称。

"我们已立即移除受影响文件，并发布了干净版本 Rank Math PRO v3.0.124。"

在这 11 小时窗口内安装并激活了木马化版本的用户，应将网站视为已遭攻陷，并遵循厂商公告中的清理流程。

Rank Math PRO 是一款 WordPress 搜索引擎优化（SEO）插件，可帮助网站提升在搜索结果中的可见度。它是免费版本的付费版，免费版在超过 400 万个网站上处于活跃状态。

敏感材料暴露

厂商的公告强调，只有 PRO 版本遭到篡改，来自 WordPress.org 的 Rank Math SEO 免费版未受影响。

Rank Math 表示，该恶意软件会建立持久访问、与'rank1cdn[.]com'通信，并在有人访问受感染网站时重建隐藏后门。

厂商警告称，安装被篡改版本 Rank Math PRO 的用户会暴露数据库凭证、API 密钥以及 Web 服务器可访问的其他机密。

在调查此次攻击时，BleepingComputer 在 VirusTotal 上发现了一个名为'cache-preloader-fff033 (1).php'的 PHP 恶意软件样本，似乎与 Rank Math 遭入侵事件有关。

尽管该文件未在 Rank Math 或 Wordfence 的公告中被提及，但 BleepingComputer 发现它包含与 Rank Math 警报中相同的入侵指标（IoC）：

• xmmqhn' XOR 混淆密钥
• '_np5pvf754c' WordPress 数据库条目
• '#ms6v46' 定时任务标记
• 使用'wpsupport_'用户名前缀和'@wp-mail.net'邮箱地址创建管理员账户的代码

该恶意软件似乎充当第一阶段部署脚本，创建 Rank Math 公告中提到的'wp-includes/class-wp-cache-util.php'后门。

该 PHP 脚本还具备执行命令、修改 WordPress 数据库以及窃取 AWS、Cloudflare、Google Cloud、Azure 凭证、SSH 密钥和其他敏感信息的能力。

尽管这些 IoC 表明它与 Rank Math 攻击是同一威胁行为者，但 BleepingComputer 无法确认它是否通过被篡改的插件分发。

清理建议

怀疑遭到攻陷的网站管理员应从干净的备份恢复网站文件和数据库，运行安全扫描，并轮换所有密码、密钥和盐值。

对于没有安全备份可恢复的网站，Rank Math 建议手动清理，并指出在遭攻陷后停用或更新插件并不会移除威胁。

清理需要删除整个插件文件夹和恶意数据库条目，然后再排查其他后门、未经授权的管理员账户、被篡改的文件、计划任务以及 WordPress 之外的潜在更改。

此外还建议阻止所有指向攻击者 rank1cdn[.]com 域名的出站连接。

已安装但从未激活该插件的用户应立即删除它，下载干净的 3.0.124 版本，然后扫描其站点。

BleepingComputer 已联系 Rank Math 询问可能受影响网站数量及初始攻击向量的细节，但截至发稿时未收到回复。