Gestohlene Schlüssel gefährden bis zu 400'000 Wordpress-Seiten

(Source: Glen Carrie / Unsplash.com)

(Source: Glen Carrie / Unsplash.com)

Angreifer nutzen gestohlene Schlüssel des Fernverwaltungsdienstes Updraftcentral, um schädliche Plugins auf Wordpress-Websites zu installieren. Teamupdraft, das Unternehmen hinter dem verbreiteten Backup-Plugin Updraftplus, stellte am Wochenende vom 17. und 18. Oktober einen unbefugten Zugriff auf seine Website fest. Das Unternehmen geht davon aus, dass die Angreifer auf seine Kundendatenbank zugreifen konnten. Diese enthält unter anderem Namen, E-Mail- und Rechnungsadressen, Bestellhistorien, Passwort-Hashes, Einstellungen für die Zwei-Faktor-Authentifizierung sowie Verbindungsschlüssel für mehrere Dienste. Kreditkartendaten speichert Teamupdraft nach eigenen Angaben nicht, wie "BleepingComputer" berichtet.

Der Angriff nutzt keine neue Sicherheitslücke in Updraftplus aus. Stattdessen verwenden die Angreifer gültige Schlüssel, mit denen sich verbundene Wordpress-Websites aus der Ferne steuern lassen. Die betroffenen Installationen erkennen damit signierte Befehle als legitim. Das Backup-Plugin kommt auf mehr als vier Millionen aktive Installationen.

Wie viele Websites tatsächlich gefährdet sind, ist unklar. Das slowakische Sicherheitsunternehmen Nethemba verweist auf eine frühere Schätzung von Teamupdraft, wonach weniger als 10 Prozent der Updraftplus-Installationen über einen entsprechenden Updraftcentral- oder Migrator-Schlüssel verfügen. Daraus ergibt sich eine Obergrenze von rund 400'000 potenziell betroffenen Websites. Wie viele davon die Angreifer tatsächlich ins Visier genommen oder kompromittiert haben, ist nicht bekannt.

Angreifer installieren Hintertüren

Das auf Wordpress-Sicherheit spezialisierte Unternehmen Patchstack beobachtet seit dem 18. Oktober, wie die Angreifer über die gestohlenen Schlüssel schädliche Plugins installieren. Die Sicherheitsfachleute registrierten mindestens 99 verschiedene Namen, unter denen sich solche Plugins als Wartungs- oder Optimierungswerkzeuge tarnen. Einer davon lautet "Site Health Cache".

Einige Varianten ermöglichen es den Angreifern, Konten mit weitreichenden Rechten anzulegen oder sich über bestehende Administrationskonten anzumelden. Nethemba berichtet, dass die Angreifer drei eigene Wordpress-Websites ins Visier nahmen. Auf zwei davon gelang es ihnen, schädliche Plugins zu installieren.

Teamupdraft widerruft Zugangsschlüssel

Teamupdraft hat nach eigenen Angaben den für den Einbruch genutzten Zugangsweg geschlossen und die Updraftplus-Versionen 1.26.13 und 2.26.13 veröffentlicht. Das Update trennt bestehende Updraftcentral-Verbindungen und macht die dazugehörigen Schlüssel ungültig. Zuvor hatte ein Fehler in einer ersten Aktualisierung verhindert, dass das System die Schlüssel zuverlässig entfernte.

Teamupdraft empfiehlt deshalb, die installierte Version zu überprüfen und verbliebene Verbindungsschlüssel manuell zu löschen. Betreiberinnen und Betreiber sollten ausserdem Plugins, Konten und Zugriffsprotokolle auf verdächtige Aktivitäten kontrollieren. Wer Anzeichen für einen Angriff findet, sollte laut dem Unternehmen eine saubere Sicherung von vor dem 17. Oktober wiederherstellen sowie Passwörter und die Zwei-Faktor-Authentifizierung zurücksetzen.

Übrigens: Auch die Infrastruktur eines anderen Backup-Anbieters geriet kürzlich ins Visier von Cyberkriminellen. Wie Angreifer über manipulierte AOMEI-Updates Schadsoftware verbreiteten - auch in der Schweiz -, lesen Sie hier.

Und wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.