Aanvallers gebruiken gestolen verbindingstokens uit een TeamUpdraft-lek om kwaadaardige plugins te installeren en toegang te behouden op WordPress-sites.
Na een beveiligingsincident bij TeamUpdraft zijn WordPress-sites getroffen doordat aanvallers gestolen verbindingstokens gebruiken om kwaadaardige plugins te installeren en zo blijvende toegang te verkrijgen. De aanval volgt op ongeautoriseerde toegang tot de website van TeamUpdraft, ontwikkelaar van de UpdraftPlus-backupplugin en bijbehorende WordPress-beheerdiensten. Hierbij is waarschijnlijk de klantendatabase ingezien, met onder meer verbindingstokens van UpdraftCentral, een dienst waarmee beheerders meerdere WordPress-sites op afstand kunnen beheren.
TeamUpdraft heeft de toegang afgesloten en nieuwe versies van UpdraftPlus uitgebracht (1.26.13 en 2.26.13) om oudere UpdraftCentral Cloud-verbindingen te intrekken. Desondanks meldde het WordPress-beveiligingsbedrijf PatchStack dat aanvallers de gelekte credentials al hadden gebruikt om opdrachten uit te voeren op verbonden sites en kwaadaardige plugins te installeren. Volgens TeamUpdraft zelf zijn de plugin en de downloads niet gecompromitteerd, en ook back-ups in externe opslag zoals Google Drive, Dropbox en Amazon S3 bleven onaangetast. Wel wordt aangeraden om de externe opslag opnieuw te autoriseren en toegangssleutels te wijzigen als de site via UpdraftCentral werd beheerd.
UpdraftPlus heeft inmiddels meer dan vier miljoen actieve WordPress-installaties, maar alleen sites die via een actieve sleutel met UpdraftCentral verbonden zijn, lopen risico op deze specifieke aanval. Aanvallers gebruikten de gestolen tokens om op afstand opdrachten uit te voeren, waarbij PatchStack aanvallen vanaf 18 oktober observeerde. Hierbij werden minstens 99 varianten van kwaadaardige plugins geïnstalleerd, vaak vermomd als onderhouds- of optimalisatietools. Onderzoekers van Nethemba meldden dat zij zelf drie WordPress-sites via deze route zagen worden aangevallen, met succesvolle installatie van kwaadaardige plugins op twee daarvan.
De backdoors kunnen beheerdersaccounts aanmaken of zich authenticeren als bestaande beheerders, en sommige zijn ontworpen om detectie in standaard WordPress-beheerschermen te vermijden. Het intrekken van de oorspronkelijke verbindingstokens verwijdert niet automatisch de kwaadaardige plugins, accounts of actieve sessies die tijdens de aanval zijn aangemaakt. TeamUpdraft heeft klantaccounts uitgelogd, inlogbeveiliging gereset, credentials voor UpdraftVault en UpdraftClone vervangen en extra monitoring ingevoerd. Ook is het incident gemeld bij de Britse toezichthouder en andere relevante instanties.
De mogelijk ingeziene klantgegevens omvatten namen, e-mailadressen, factuuradressen, bestelgeschiedenis, gehashte wachtwoorden, instellingen voor tweefactorauthenticatie en service-verbindingstokens. Betalingsgegevens worden niet opgeslagen, omdat betalingen via Stripe en PayPal verlopen. Beheerders die UpdraftCentral Cloud gebruiken, wordt geadviseerd om te updaten naar de veiligere UpdraftPlus-versies en elke verbonden site grondig te controleren. Aanbevolen acties zijn onder meer het verwijderen van resterende UpdraftCentral-verbindingstokens, het controleren van beheerdersaccounts en plugins, het wijzigen van beheerderswachtwoorden en het analyseren van logs op verdachte activiteiten. Gecompromitteerde sites dienen mogelijk te worden hersteld vanuit een betrouwbare back-up van vóór 17 oktober, gevolgd door het roteren van credentials en integriteitscontroles. Daarnaast raadt TeamUpdraft aan om accountwachtwoorden te wijzigen en tweefactorauthenticatie opnieuw in te stellen waar van toepassing.
