Claves robadas de UpdraftCentral utilizadas para introducir puertas traseras en sitios web de WordPress

Un actor ma­li­cio­so logró in­fil­trar­se en el sitio web de Tea­mUp­draft, em­pre­sa de­sa­rro­lla­do­ra de co­no­ci­dos com­ple­men­tos de se­gu­ri­dad y res­pal­dos para Word­Press. La firma de­tec­tó este ac­ce­so no au­to­ri­za­do en su in­fra­es­truc­tu­ra, cre­yen­do que el ata­can­te logró en­trar a la base de datos de los clien­tes y ob­te­ner in­for­ma­ción con­fi­den­cial, in­clu­yen­do cre­den­cia­les de co­ne­xión para sus he­rra­mien­tas de ad­mi­nis­tra­ción re­mo­ta y al­ma­ce­na­mien­to en la nube, ade­más de con­fi­gu­ra­cio­nes de au­ten­ti­ca­ción de doble fac­tor y hashes de con­tra­se­ñas.

Como con­se­cuen­cia de este in­ci­den­te, se es­ti­ma que una por­ción con­si­de­ra­ble de los si­tios que uti­li­zan estos com­ple­men­tos po­dría estar ex­pues­ta, ya que los ata­can­tes co­men­za­ron a uti­li­zar las lla­ves de ac­ce­so ro­ba­das para ins­ta­lar puer­tas tra­se­ras en los si­tios vin­cu­la­dos a Up­draft­Cen­tral. In­ves­ti­ga­do­res de se­gu­ri­dad se­ña­la­ron que estas ac­cio­nes ma­li­cio­sas bus­can eje­cu­tar có­di­go ar­bi­tra­rio y aña­dir cuen­tas con pri­vi­le­gios to­ta­les de ad­mi­nis­tra­dor me­dian­te plu­gins fal­sos dis­fra­za­dos de he­rra­mien­tas de op­ti­mi­za­ción.

Para mi­ti­gar la si­tua­ción, se re­co­mien­da a los usua­rios ac­tua­li­zar los com­ple­men­tos afec­ta­dos a las ver­sio­nes más re­cien­tes, eli­mi­nar las lla­ves de co­ne­xión exis­ten­tes desde los ajus­tes de la he­rra­mien­ta de res­pal­dos, re­vi­sar re­gis­tros y ar­chi­vos en busca de in­di­cios de com­pro­mi­so, y en caso de con­fir­mar­se una in­tru­sión, res­tau­rar los si­tios desde res­pal­dos lim­pios, mo­di­fi­car las con­tra­se­ñas, re­vo­car se­sio­nes y res­ta­ble­cer la pro­tec­ción de au­ten­ti­ca­ción de doble fac­tor.