WordPress-sites lopen risico op backdoor door hack bij plug-inmaker TeamUpdraft

Beheerders van WordPress-sites kunnen een backdoor op hun systemen hebben doordat aanvallers klantengegevens en encryptiesleutels hebben gestolen bij TeamUpdraft. Dat bedrijf maakt plug-ins voor back-up en herstel van WordPress-installaties. Klanten moeten nu diverse maatregelen nemen.

De maker van UpdraftPlus, UpdraftCentral, UpdraftVault en UpdraftClone geeft gebruikers uitleg over de hackaanval, die het bedrijf afgelopen weekend ontdekte. In reactie heeft het bedrijf de toegang van de aanvallers geblokkeerd, klanten uit hun onlineaccounts uitgelogd, de beveiliging op zijn website gereset en encryptiesleutels vervangen. Het komt 'zo snel mogelijk' met een update voor UpdraftPlus die automatisch UpdraftCentral-verbindingen van voor de hackaanval verbreekt.

Wachtwoorden wijzigen, sleutels wissen

Klanten die zelf UpdraftCentral draaien, zijn volgens TeamUpdraft niet geraakt door dit beveiligingsincident. Bij de uitleg over de hackaanval geeft het bedrijf ook instructies voor gebruikers van zijn verschillende producten. Klanten met een account bij teamupdraft.com moeten hun wachtwoorden daarvoor wijzigen. Als ze tweefactorauthenticatie gebruiken, moeten ze die resetten in hun account op de site van de pluginmaker.

Gebruikers van clouddienst UpdraftCentral moeten hun sites stuk voor stuk veiligstellen, omdat via die clouddienst commando's zijn te sturen aan verbonden sites. Voor elke site moeten klanten inloggen op het WordPress-dashboard van die site om daar de verbinding met UpdraftCentral te verbreken. Dit gebeurt door de verbindingssleutel te wissen.

Accounts en plug-ins controleren

Daarna moeten beheerders nog controleren of er onbekende beheerdersaccounts staan in het gebruikersoverzicht. Als die er zijn, moeten beheerders die wissen. Verder moeten beheerders onbekende plug-ins verwijderen en de wachtwoorden voor alle beheerdersaccounts wijzigen. "Als je iets verdachts vindt, overweeg dan om de site te herstellen vanaf een back-up die is gemaakt vóór 17 oktober", adviseert TeamUpdraft.

Gebruikers van UpdraftVault zijn door het bedrijf al ontkoppeld. Hierdoor werken back-ups nu niet meer. Beheerders moeten voor elke WordPress-site inloggen op het dashboard en daar opnieuw verbinding maken met UpdraftVault. Daarbij moeten ze wel een nieuw wachtwoord gebruiken voor hun account bij teamupdraft.com.

Gebruikers van UpdraftClone hoeven alleen actie te ondernemen als ze sleutels hebben gedeeld met hun eigen klanten. TeamUpdraft heeft de sleutels van zijn kloonproduct vervangen voor gebruikers. Als zij die met hun klanten hebben gedeeld, moeten ze nu dus de nieuwe sleutels doorgeven. De oude sleutels werken niet meer.

Wel waakzaam zijn

Gebruikers van het gratis UpdraftPlus die geen account bij teamupdraft.com hebben, hoeven nu niets te doen. Wel moeten alle gebruikers van TeamUpdraft-producten waakzaam zijn voor phishing. De aanvallers hebben namelijk naast versleutelde wachtwoorden, encryptiesleutels en instellingen voor tweefactorauthenticatie ook veel klantengegevens gestolen. Deze data omvat namen, e-mailadressen, factuuradressen en de bestelgeschiedenis. Beheerders bespreken de impact onder meer in een thread op Reddit.

TeamUpdraft iconen. Bron: TeamUpdraft

Reacties (9)

[Basszje]

Gaat dus zo te lezen alleen om gebruikers die een account hebben bij de dienst. Niet als je alleen de plugin gebruikt zonder extra accounts (gratis gebruikers)

[Little Penguin]

Gebruikers van clouddienst UpdraftCentral moeten hun sites stuk voor stuk veiligstellen, omdat via die clouddienst commando's zijn te sturen aan verbonden sites.

Het op afstand uit kunnen voeren van commando's is ook helemaal niet zo'n goed idee, waarom dacht men dat dit een goed idee zou zijn? Dit zou expliciet aangezet moeten worden voor dit gebruikt kan worden, dan is het tenminste nog een keuze.

Ik geef toe dat het remote updaten van plug-ins en WordPress zelf ook code ophaald van een remote host, maar dat is dan wel specifiek een WordPress of een plug-in-update.

Als ik het goed begrijp wordt er via deze exploit echter een willekeurige plug-in toegevoegd en dan wordt het wel heel gemakkelijk om besmette code binnen te krijgen.

Uit het bericht op patchstack:

Run this check even if you have never used UpdraftCentral. Because of the default-ticked checkbox on the TeamUpdraft.com account screen, plenty of sites hold a key that nobody deliberately created

Dit is ook wel lekker onhandig, zodra je dus het standaardpad qua installatie afgegaan bent is de website waar je deze plug-in geïnstalleerd hebt dus zeer waarschijnlijk lek. Nog een default die niet standaard aan zou moeten staan.

[Faeron]

Wordpress is ook nooit ontworpen en gemaakt met beveiliging in gedachte. Het is een brok spaghetti-code. Ik heb in het verleden meerdere workshops secure webdevelopment gegeven, waarbij ik Wordpress code gebruikte als voorbeeld van hoe het niet moet.

[Jol65]

Vervang "Wordpress" door "Windows" en je hebt een gelijksoortig statement.

[WPbeveiligen]

WordPress wel maar die plugin mogen te veel. Dan zijn er ook nog eens 76,000 gratis plugins, en minimaal evenveel premium plugins gemaakt door jan en alleman.. tja.

Bij goed beheer is het wel te doen, maar zomaar even wat plugins erin knallen en wat admins zonder beveiligingsregels.. dat kan alleen als het een hobby-site is.

[MrWiggle]

Dit laat wel weer zien hoe kwetsbaar een website kan worden door alle externe afhankelijkheden. Zelfs een back-upplug-in, die juist voor extra zekerheid moet zorgen, kan een risico vormen.

WordPress is op zichzelf niet het probleem, maar voor relatief eenvoudige websites vraag ik me steeds vaker af of zo'n uitgebreid ecosysteem van plug-ins en koppelingen eigenlijk wel nodig is.

Minder afhankelijkheden betekent natuurlijk niet automatisch betere beveiliging, maar het maakt het beheer en het aanvalsoppervlak wel een stuk overzichtelijker.

[WPbeveiligen]

Een maximaal aantal plugins en administratoren met beheerrechten is een goed begin.
Het is wel jammer dat AI nu heel veel "hackers" de kans geeft om de plugins op hoog niveau door te lichten op mogelijke lekken.

[mayhem]

Mijn mening: back-ups moeten geregeld worden door de infra (lees hosting), niet door de applicatie.

[WPbeveiligen]

Sleutels intrekken van updraftcentral als je die hebt en kijken of er beweging is in de files/admin users.

Ik gebruik het zelf niet maar TeamUpdraft heeft dit standaard aangevinkt staan als je een pro licentie hebt en de modules wilt gebruiken op een site.

Kortom, elke keer uitvinken want wie gaat updraft (backupplugin) nu ook als management tool gebruiken..?

Hopelijk hebben alle sites goede beveiliging, logboeken zodat ze kunnen kijken of er al users aangemaakt zijn, aanpassingen zijn verricht etc.

Succes!