WordPress
Plugin Rank Math PRO esteve 11 horas com malware: como saber se o teu site WordPress foi afetado
Quem descarregou a versão 3.0.123 do plugin de SEO entre a noite de 15 e a manhã de 16 de outubro pode ter instalado uma porta das traseiras que cria administradores falsos e expõe as palavras-passe da base de dados. A versão gratuita não foi afetada.
A versão paga do Rank Math, um dos plugins de SEO mais usados em sites WordPress, foi distribuída com malware a partir do site oficial da empresa durante cerca de 11 horas. Segundo o aviso publicado pela Rank Math, o problema atinge quem descarregou ou atualizou para o Rank Math PRO 3.0.123 entre as 21h02 de 15 de outubro e as 8h12 de 16 de outubro, em hora de Lisboa. A empresa fala num "número limitado" de utilizadores e já disponibiliza a versão 3.0.124, que está limpa. O plugin gratuito, distribuído pelo WordPress.org e ativo em mais de quatro milhões de sites, não foi afetado.
O que o malware faz
Os ficheiros adulterados davam ao atacante acesso permanente ao site assim que o plugin era ativado. De acordo com a Rank Math, o código comunica com o domínio rank1cdn.com e volta a criar uma porta das traseiras escondida sempre que alguém visita o site. A empresa avisa que ficam expostas as credenciais da base de dados, as chaves de API e outros segredos a que o servidor tem acesso. O BleepingComputer encontrou uma amostra de malware com os mesmos indicadores, capaz de criar contas de administrador e de roubar credenciais de serviços como a AWS, a Cloudflare, a Google Cloud e a Azure, mas não confirmou que tenha sido distribuída através do plugin. A empresa não respondeu ao BleepingComputer sobre quantos sites foram afetados nem sobre a forma como os ficheiros foram alterados.
O que fazer se tens um site com o Rank Math PRO
Começa por ver no painel do WordPress, em Plugins, que versão tens instalada. Se instalaste e ativaste a 3.0.123 naquele intervalo, a recomendação da Rank Math é tratar o site como comprometido e repô-lo a partir de uma cópia de segurança anterior às 21h02 de 15 de outubro. Se a instalaste mas nunca a ativaste, apaga os ficheiros, instala a 3.0.124 a partir da tua conta e faz uma análise de segurança. Se só descarregaste o ficheiro sem o instalar, a empresa diz não haver indícios de risco.
Sem cópia de segurança, a limpeza tem de ser feita por ordem, porque desativar ou atualizar o plugin não remove a ameaça. Primeiro apaga a pasta rank-math-pro inteira e as entradas maliciosas indicadas no aviso, na tabela wp_options, e bloqueia, se puderes, as ligações para rank1cdn.com. Depois procura administradores desconhecidos com nomes começados por wpsupport_ ou emails terminados em @wp-mail.net, e o ficheiro wp-includes/class-wp-cache-util.php, que não faz parte do WordPress. Em qualquer dos casos, troca todas as palavras-passe e chaves: base de dados, chaves e salts do wp-config.php, acessos ao alojamento, FTP e SSH, e chaves de pagamentos ou de envio de email guardadas no site. Se não te sentes à vontade com estes passos, o aviso aconselha a pedir ajuda ao fornecedor de alojamento.
