WordPress
UpdraftPlus: chaves roubadas à empresa do plugin serviram para instalar backdoors em sites WordPress
Um ataque ao site da TeamUpdraft expôs as chaves que permitem controlar à distância os sites ligados ao UpdraftCentral. Em menos de um dia surgiram 99 plugins maliciosos diferentes. A atualização que corta essas ligações já chegou sozinha, mas não apaga o que lá ficou.
O UpdraftPlus é o plugin de cópias de segurança mais usado no WordPress, com mais de quatro milhões de instalações ativas, segundo a empresa de segurança Patchstack. No fim de semana de 17 e 18 de outubro, a TeamUpdraft, que o desenvolve, detetou um acesso não autorizado ao seu site e admitiu que a base de dados de clientes foi consultada. Lá estavam nomes, emails, moradas de faturação, palavras-passe guardadas de forma cifrada, definições de dupla autenticação e as chaves de ligação dos serviços UpdraftCentral, UpdraftVault e UpdraftClone. A empresa garante que não guarda dados de cartões, porque os pagamentos passam pela Stripe e pelo PayPal.
Como as chaves abriram a porta aos sites
O UpdraftCentral serve para gerir vários sites à distância. Um site ligado a este serviço executa qualquer ordem assinada com a chave do painel, sem pedir confirmação. Com as chaves na mão, o atacante passou a enviar ordens legítimas, do ponto de vista do site, para instalar plugins maliciosos e criar contas com permissões totais. A Patchstack registou instalações entre as 15h32 (hora UTC) de 18 de outubro e a manhã do dia seguinte, com 99 nomes diferentes, disfarçados de ferramentas de manutenção. O mais repetido é Site Health Cache.
Há um pormenor que alarga o problema. Segundo a Patchstack, ligar o plugin a uma conta da TeamUpdraft cria por defeito uma chave do UpdraftCentral, porque a opção vem marcada. Há, por isso, sites com chave ativa cujos donos só usavam o UpdraftPlus para cópias de segurança. O BleepingComputer estima que cerca de 400 mil sites estivessem expostos. A empresa diz que a rapidez dos ataques, e o facto de as primeiras versões dos plugins maliciosos terem erros, sugere que o atacante usou IA para acelerar o trabalho.
O que fazer se tens um site WordPress
A TeamUpdraft publicou a 19 de outubro as versões 1.26.13 (gratuita) e 2.26.13 (Premium), que desligam todas as ligações ao UpdraftCentral criadas antes das 22h00 (hora de Londres) de 18 de outubro. O WordPress.org distribuiu-as automaticamente, mas convém confirmar no painel que o teu site já as tem. A atualização corta o acesso, mas não remove o que o atacante tenha deixado instalado.
Se usas o UpdraftCentral na versão alojada pela empresa, a recomendação é entrar diretamente no painel de cada site e fazer isto:
- Em Utilizadores, procurar administradores que não reconheces. A Patchstack avisa que a conta criada pelo atacante pode aparecer disfarçada de Editor.
- Em Plugins, incluindo o separador Must-Use, apagar tudo o que não reconheces.
- Mudar as palavras-passe de todos os administradores.
- Se encontrares algo suspeito, repor uma cópia de segurança feita antes de 17 de outubro.
Quem tem conta na TeamUpdraft deve mudar a palavra-passe, escrevendo o endereço do site à mão em vez de seguir ligações, e repor a dupla autenticação. Os utilizadores do UpdraftVault têm de voltar a ligar os sites, porque todas as ligações foram cortadas. Quem usa a versão gratuita sem conta na TeamUpdraft não precisa de fazer nada além de manter o plugin atualizado.
