Des centaines de milliers de sites WordPress potentiellement exposés
Une attaque contre TeamUpdraft, éditeur d’extensions WordPress dédiées notamment à la sauvegarde et à la gestion de sites, a exposé des clés d’accès. Selon les chercheurs, jusqu’à 400 000 sites pourraient être concernés, sans que le nombre de victimes soit connu.
Des cybercriminels exploitent des clés de connexion volées au service UpdraftCentral pour installer des portes dérobées sur des sites WordPress, alerte BleepingComputer. TeamUpdraft, l’éditeur d’UpdraftPlus, a confirmé une intrusion sur son site durant le week-end des 17 et 18 octobre. Il estime que sa base de données clients a pu être consultée, avec des noms, adresses, historiques de commandes, mots de passe hachés, paramètres de double authentification et clés de connexion à plusieurs services. Aucune donnée de carte bancaire n’était stockée.
L’attaque ne repose pas sur une nouvelle vulnérabilité d’UpdraftPlus, une extension de sauvegarde installée sur plus de quatre millions de sites, mais sur le détournement de clés permettant à UpdraftCentral d’administrer des sites à distance, précise BleepingComputer. Avant d'ajouter que ces commandes sont considérées comme légitimes par les installations concernées. Selon Nethemba, une entreprise slovaque spécialisée dans la cybersécurité et les tests d’intrusion, jusqu’à 400 000 sites pourraient disposer de clés UpdraftCentral ou Migrator, sans que le nombre de sites réellement compromis soit connu.
Des accès administrateurs détournés grâce aux clés volées
Patchstack, une entreprise spécialisée dans la sécurité des extensions WordPress, a détecté des installations de modules malveillants à partir du 18 octobre. Ses chercheurs ont répertorié 99 noms distincts d’extensions se faisant passer pour des outils de maintenance, notamment «Site Health Cache». Certaines variantes permettent de créer des comptes dotés de privilèges élevés ou de se connecter comme un administrateur existant. Nethemba rapporte que deux de ses trois sites ciblés ont effectivement reçu des extensions malveillantes.
TeamUpdraft indique avoir fermé l’accès utilisé lors de l’intrusion et publié UpdraftPlus 1.26.13 et 2.26.13 pour révoquer les anciennes connexions. Nethemba signale toutefois que certaines clés créées le 18 octobre échappent à cette révocation automatique. Le 21 octobre, ses chercheurs observaient encore des tentatives de commandes avec les clés compromises.
Les administrateurs sont invités à vérifier la version d’UpdraftPlus, supprimer les clés UpdraftCentral encore présentes et examiner les extensions, comptes et journaux d’accès. TeamUpdraft recommande également de modifier le mot de passe du compte concerné et, en cas de compromission, d’envisager une restauration depuis une sauvegarde antérieure à l’attaque.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
