Popüler WordPress yedekleme eklentisi UpdraftPlus'ın geliştiricisi TeamUpdraft, 19 Ekim'de yayımladığı ve 21 Ekim'e kadar güncellediği açıklamada şirketin müşteri veritabanına izinsiz erişildiğini duyurdu. Şirkete göre izinsiz erişim 17-18 Ekim hafta sonunda tespit edildi. WordPress güvenlik şirketi Patchstack ise aynı günlerde, çalınan UpdraftCentral anahtarlarıyla WordPress sitelerine arka kapı eklentileri yüklendiğini raporladı.
Hangi veriler etkilendi?
TeamUpdraft'ın açıklamasına göre erişilen veriler arasında şunlar bulunuyor:
- Ad, e-posta adresi, fatura adresi ve sipariş geçmişi
- Yalnızca karma (hash) olarak saklanan hesap parolaları
- İki adımlı doğrulama ayarları
- UpdraftCentral, UpdraftVault ve UpdraftClone bağlantı anahtarları
Şirket, ödemeler Stripe ve PayPal üzerinden alındığı için kart bilgilerinin saklanmadığını, UpdraftPlus eklentisinin ve indirme dosyalarının etkilenmediğini belirtiyor. Kullanıcının kendi uzak depolama alanındaki yedekler ile kendi sunucusunda barındırılan UpdraftCentral da etkilenmeyenler arasında.
Saldırı nasıl gerçekleşti?
Patchstack'in 19 Ekim tarihli analizine göre saldırgan, geçerli UpdraftCentral anahtarlarıyla imzalanmış komutlar göndererek bağlı sitelere eklenti yükleyip etkinleştirdi. Kampanya yaklaşık 18 saat sürdü; ilk kurulum 18 Ekim'de, son kurulum 19 Ekim sabahı görüldü. Patchstack, yüklenen arka kapının gizli bir URL parametresiyle tetiklendiğini, yetkileri artırılmış gizli bir hesap oluşturduğunu ve giriş formunu ile iki adımlı doğrulamayı atlattığını aktarıyor. Firmaya göre 99 farklı arka kapı eklenti adı tespit edildi; en sık görülen ad "Site Health Cache". Saldırıyı ilk olarak Nethemba fark etti.
Patchstack'e göre sorun bir eklenti hatasından değil, anahtarların ele geçirilmesinden kaynaklanıyor; bu nedenle saldırı sırasında eklentinin en güncel sürümleri de etkileniyordu. Firma, bir siteyi UpdraftCentral'a bağlamanın ya da TeamUpdraft hesabı bağlamanın anahtar oluşturduğunu ve bu anahtarların süresinin dolmadığını belirtiyor. Patchstack ayrıca arka kapı eklentisinin hatalı olduğu için bazı sitelerde HTTP 500 hatalarına yol açtığını ve bu eklentinin onarılmaya çalışılmaması gerektiğini vurguluyor.
Site sahipleri ne yapmalı?
TeamUpdraft, UpdraftPlus'ın 1.26.13 (ücretsiz) ve 2.26.13 (Premium) sürümlerinin, belirlenen kesim saatinden önce kurulan tüm UpdraftCentral bağlantılarını kopardığını açıkladı. Şirketin ve Patchstack'in önerileri özetle şöyle:
- UpdraftPlus'ı güncelleyip UpdraftCentral bağlantı anahtarını silmek
- Tanınmayan yönetici hesaplarını ve eklentileri (Must-Use eklentiler dahil) kontrol etmek
- Yönetici parolalarını ve teamupdraft.com hesap parolasını değiştirmek
- Şüpheli bir durum varsa 17 Ekim öncesine ait temiz bir yedeğe dönmek
- UpdraftVault kullanıcılarının siteleri yeniden bağlaması
Şirket, 21 Ekim güncellemesinde saldırganın hâlâ erişimi olduğuna dair şu an bir kanıt bulunmadığını, harici bir siber güvenlik firmasıyla çalıştığını ve olayı yetkililere bildirdiğini belirtti. Hesabı olmayan ücretsiz UpdraftPlus kullanıcıları için ek bir işlem gerekmiyor.
Kaynak: TeamUpdraft, Patchstack
Yorumlar 0
Henüz yorum yok. İlk yorumu sen yaz.
Yorum yaz