Un aggiornamento del plugin SEO Rank Math PRO per WordPress, scaricato dal sito ufficiale tra il 15 ottobre 2026 alle 20:02 UTC e il 16 ottobre 2026 alle 07:12 UTC, è stato compromesso con malware. La versione compromessa era la 3.0.123, mentre la 3.0.124 è stata rilasciata con una versione pulita. La versione gratuita del plugin è attiva su oltre 4 milioni di siti web.
Dettagli tecnici dell'attacco
L'attacco è stato un supply-chain attack: un eseguibile Windows utilizzato per il processo di build è stato compromesso, iniettando codice malevolo nella build finale del plugin. Il malware stabilisce un accesso persistente al server e comunica con 'rank1cdn[.]com'. L'installazione della versione compromessa del plugin Rank Math PRO espone le credenziali del database, le chiavi API e altri segreti accessibili al server web.
Indicazioni di compromissione (IoCs)
- 'cache-preloader-fff033 (1).php' trovato su VirusTotal
- Chiave di offuscamento 'xmmqhn'
- Voce del database WordPress '_np5pvf754c'
- Marker cron '#ms6v46' per la creazione di account amministratori
- Prefisso 'wpsupport_' per nomi utente e indirizzi email '@wp-mail.net'
Queste indicazioni possono variare e potrebbero essere aggiornate o modificate.
Funzionalità del malware
I file del plugin compromesso contenevano malware che poteva compromettere il tuo sito web se il plugin veniva attivato. Il malware poteva eseguire comandi arbitrari, modificare il database WordPress, rubare credenziali AWS, Cloudflare, Google Cloud, Azure, chiavi SSH e altre informazioni sensibili, oltre a compromettere altri siti web ospitati sullo stesso server.
Raccomandazioni per la pulizia
Rank Math consiglia di ripristinare sia i file che il database da un backup pulito verificato, eseguire scansioni di sicurezza e ruotare tutte le password, chiavi e sali. Per i siti senza un backup sicuro, Rank Math fornisce un file di script per la pulizia che consente di eseguire la pulizia manuale, eliminare la cartella del plugin compromesso e le voci di database malevole.
Gli amministratori dovrebbero investigare ulteriori backdoor, account amministratori non autorizzati, file alterati e attività programmate, e bloccare tutte le connessioni in uscita verso 'rank1cdn[.]com'.