El popular plugin de SEO para WordPress «Rank Math PRO» ha sido pirateado para instalar una puerta trasera que se restaura automáticamente

Se han de­tec­ta­do ar­chi­vos ma­li­cio­sos en ver­sio­nes de pago del com­ple­men­to Rank Math PRO para Word­Press ob­te­ni­das me­dian­te des­car­gas di­rec­tas o ac­tua­li­za­cio­nes. Las pá­gi­nas que ins­ta­la­ron y ac­ti­va­ron las co­pias afec­ta­das deben con­si­de­rar­se com­pro­me­ti­das, ya que el pro­gra­ma ma­li­cio­so tiene la ca­pa­ci­dad de re­ge­ne­rar un ac­ce­so ocul­to cada vez que se vi­si­ta el sitio web. El pro­ble­ma afec­ta úni­ca­men­te a la va­rian­te de pago que se ad­quie­re a tra­vés del sitio web ofi­cial del pro­vee­dor, mien­tras que la ver­sión gra­tui­ta alo­ja­da en el re­po­si­to­rio ofi­cial de Word­Press no se men­cio­na en las aler­tas.

Los res­pon­sa­bles del com­ple­men­to eli­mi­na­ron el con­te­ni­do ma­li­cio­so y pu­bli­ca­ron una ver­sión lim­pia, pero la ac­tua­li­za­ción por sí sola no borra los ele­men­tos que los ata­can­tes hayan de­ja­do en el ser­vi­dor. La in­fec­ción puede in­cluir re­gis­tros de ad­mi­nis­tra­ción fal­sos, mo­di­fi­ca­cio­nes en ar­chi­vos del sis­te­ma y car­pe­tas de com­ple­men­tos, así como ta­reas pro­gra­ma­das y cla­ves de ac­ce­so. Por este mo­ti­vo, se re­co­mien­da uti­li­zar co­pias de se­gu­ri­dad an­te­rio­res al in­ci­den­te o rea­li­zar una lim­pie­za ma­nual en un orden es­pe­cí­fi­co, lo que in­clu­ye eli­mi­nar di­rec­to­rios con­cre­tos, blo­quear co­ne­xio­nes sa­lien­tes hacia un do­mi­nio vin­cu­la­do y mo­di­fi­car con­tra­se­ñas y cre­den­cia­les de ac­ce­so.

El crea­dor del com­ple­men­to forma parte de un grupo de alo­ja­mien­to y hasta el mo­men­to no ha ex­pli­ca­do cómo los ar­chi­vos ma­li­cio­sos in­gre­sa­ron a su pla­ta­for­ma de des­car­gas, cuán­tos usua­rios re­sul­ta­ron afec­ta­dos ni los có­di­gos hash de los pa­que­tes. Este epi­so­dio se suma a in­ci­den­tes si­mi­la­res ocu­rri­dos este mismo año en los ca­na­les de ac­tua­li­za­ción de otros com­ple­men­tos de pago para la misma pla­ta­for­ma de ges­tión de con­te­ni­dos, donde los ata­can­tes lo­gra­ron com­pro­me­ter ver­sio­nes le­gí­ti­mas.