Rank Mathi uuendus tõi pahavara — ainult versiooni vahetamisest ei piisa

Rank Mathi 16. oktoobri turvateate järgi sisaldas osa WordPressi Rank Math PRO 3.0.123 pakette, mis laaditi alla või jõudsid kasutajani uuendusena 15. oktoobril 2026 kell 20.02 kuni 16. oktoobril kell 07.12 UTC, pahavara; tootja väljastas puhta versiooni 3.0.124 ja hoiatas: „Deactivating the plugin alone is not sufficient.” Kui mõjutatud koopia aktiveeriti, tuleb saiti käsitada kompromiteerituna ka pärast versiooni vahetamist.

Pahavara võib saidi külastamisel peidetud tagaukse uuesti luua, seega tuleb taastada nii failid kui ka andmebaas ning vahetada saladused, millele veebiserver pääses ligi. BleepingComputeri analüüs leidis juhtumiga ühiste tunnustega PHP-näidisest käskude täitmise, andmebaasi muutmise ning AWS-i, Cloudflare’i, Google Cloudi ja Azure’i ligipääsuandmete ning SSH-võtmete kogumise võimalused, kuid ei suutnud kinnitada, et just see näidis levis mõjutatud pistikprogrammi kaudu.

Kas ohuperioodil saadud pakett jõudis saidil käivituda?

Praegune versiooninumber ei ole piisav vastus. The Hacker Newsi ülevaade märgib, et 3.0.123 avaldati juba 7. oktoobril, enne pahavaraga pakettide levitamist. Kontrolli iga saidi kohta eraldi allalaadimise või automaatse uuenduse aega, paigaldamist, aktiveerimist ja hilisemat versioonivahetust; abiks on uuenduslogid, varukoopiad ning majutaja logid.

• Ainult alla laaditud: kui ohuperioodi paketti saidile ei paigaldatud, ei viita see juhtum üksi saidi nakatumisele. Ära kasuta alles hoitud faili tulevaseks paigalduseks; hangi puhas koopia Rank Mathi kontolt.
• Paigaldatud, kuid aktiveerimata: eemalda mõjutatud failid, paigalda puhas väljalase tootja kontolt ja tee turvakontroll. Käivitamata paketti ei saa selle juhtumi põhjal pidada juba loodud tagaukse tõendiks.
• Aktiveeritud: kui ohuperioodil saadud koopia käivitati, käsita saiti kompromiteerituna ja alusta täielikku taastamist, isegi kui praegu näitab haldusvaade puhast versiooni. Kui ajalugu ei võimalda aktiveerimist kindlaks teha, uuri faile, andmebaasi ja logisid võimaliku nakatumisena.

Kui sait sai 3.0.123 enne ohuperioodi ja pistikprogrammi selle ajal uuesti ei hangitud ega uuendatud, ei tõenda versiooninumber üksi nakatumist. Failide muutmisajad võivad aidata ajajoont kokku panna, kuid neid tasub võrrelda majutaja ja uuenduste logidega. Mitut saiti hallates tuleb see võrdlus teha iga paigalduse kohta eraldi.

Tootja hoiatus puudutab tasulist Rank Math PRO pistikprogrammi; WordPress.org kaudu leviv tasuta Rank Math SEO sellesse pahavarajuhtumisse ei kuulu. Sama halduskonto all olevad saidid võivad siiski olla eri seisus, sest määrav on igasse paigaldusse jõudnud konkreetne pakett ja selle käivitamine.

Miks puhas väljalase ei pruugi tagaust kõrvaldada?

Uuendamine asendab pistikprogrammi failid, kuid ei eemalda automaatselt väljapoole selle kausta jäetud PHP-faile, ründaja loodud administraatorikontosid ega ajastatud ülesandeid. Nakatunud saidi külastus võib tagaukse taasluua ka pärast nähtava kahtlase faili kustutamist. Seepärast tuleb puhastamisel peatada taastav mehhanism enne muude jälgede eemaldamist.

Kui olemas on enne 15. oktoobri kella 20.02 UTC tehtud usaldusväärne varukoopia, taasta sellest koos saidi failid ja andmebaas. Seejärel tee turvakontroll, vaheta ligipääsuandmed ning paigalda Rank Mathi kontolt puhas pistikprogramm. Ainult failide taastamine jätaks võimalikud pahatahtlikud andmebaasikirjed alles; ainult andmebaasi taastamine jätaks maha serverisse kirjutatud koodi.

Kui puhast varukoopiat ei ole

Käsitsi puhastamise järjekord algab tagaukse taastamist võimaldavate osade eemaldamisest. Säilita enne muutmist uurimiseks logid ja kahtlaste failide koopiad ning tee andmebaasist varukoopia, et muudatuste ulatust saaks hiljem hinnata. Kui serveritaseme ligipääsu ei ole, kaasa majutaja juba selles etapis.

1. Kustuta kogu rank-math-pro kaust, mitte ainult ära lülita pistikprogrammi välja. Nii eemaldad mõjutatud koodi, mis võib tagaukse uuesti luua.
2. Otsi WordPressi andmebaasi wp_options tabelist option_name väärtused _uf6qdn2hmm, t8krdk990phb ja _np5pvf754c ning kustuta leitud pahatahtlikud kirjed. Tabeli tegelik prefiks võib erineda.
3. Kui majutaja või tulemüür seda võimaldab, blokeeri väljuvad ühendused domeenile rank1cdn.com. Alles seejärel otsi täiendavaid tagauksi, kontosid ja serveris tehtud muudatusi.

Kontrolli kausta wp-content/mu-plugins/, teiste pistikprogrammide ja teemade katalooge ning üleslaadimisi ootamatute PHP-failide suhtes. Fail wp-includes/class-wp-cache-util.php ei ole tavaline WordPressi tuumafail. Uuri ka .htaccess reegleid, mis lubavad .cache laiendiga faile PHP-na käivitada, ning sellise laiendiga faile, mis sisaldavad PHP-koodi.

Kasutajate seast otsi tundmatuid administraatoreid, eriti wpsupport_ algusega nimesid ja @wp-mail.net lõpuga aadresse. Vaata üle WordPressi ajastatud sündmused ning veebiserveri kasutaja cron-kirjed, sealhulgas marker #ms6v46. Serveris tuleb kontrollida ka SSH authorized_keys faile, teiste kasutajate cron-kirjeid, töötavaid protsesse ja veebiserverile kirjutatavaid kohti väljaspool saidikataloogi.

Need tunnused suunavad otsingut, kuid nende puudumine ei kinnita saidi puhtust. Võrdle WordPressi tuumafaile ametlike kontrollsummadega ja tasulist pistikprogrammi tootja puhta koopiaga; kontrollsummad ei pruugi iga tasulise pistikprogrammi jaoks saadaval olla.

Millised saladused tuleb vahetada?

Isegi puhta varukoopia taastamine ei võta tagasi saladusi, millele pahavara võis juba ligi pääseda. Vaheta WordPressi kasutajate paroolid, andmebaasi kasutaja ligipääsuandmed ning wp-config.php turvavõtmed ja salts-väärtused. Asenda ka makselahenduste, SMTP ning muude ühendatud teenuste API-võtmed ja paroolid, kui need olid saidi seadetes, konfiguratsioonifailides või keskkonnamuutujates kättesaadavad.

Uuenda majutuskonto, FTP, SFTP ja SSH ligipääsud ning vaata üle administraatorite kaheastmeline autentimine. Pärast puhastamist jälgi järgnevatel päevadel väljuvaid ühendusi ja kontrolli, kas eemaldatud failid ilmuvad uuesti. Kui logid näitavad kahtlast tegevust, vajavad uurimist ka serveritaseme muudatused, millele WordPressi haldusvaatest ligi ei pääse.

Loe ka:

• Drupali kriitiline paik ilmub 14. oktoobril — uuenduseks tuleb aeg kohe broneerida
• Kaks Citrix NetScaleri nullpäeva on ründajate käes — uuendusest üksi ei piisa
• Videokoosoleku väsimus ei tule ainult kaamerast, vaid ka infokoormusest