El plugin Rank Math PRO para WordPress, ampliamente adoptado por profesionales de SEO en Latinoamérica, sufrió una intrusión en su cadena de suministro. Las distribuciones oficiales de la versión v3.0.123, publicadas entre el 15 y 16 de octubre, incluían código malicioso que instalaba backdoors sin el conocimiento de los administradores. Este vector de ataque permite a un actor remoto ejecutar comandos arbitrarios dentro del entorno del sitio comprometido, poniendo en riesgo datos, credenciales y la integridad del servidor.

Qué sabemos

Según el informe de BleepingComputer, la única variante afectada corresponde a la versión v3.0.123 del plugin, distribuida directamente desde el sitio oficial. No se han identificado versiones anteriores ni posteriores como comprometidas. El periodo de exposición se limitó a una ventana de 48 horas, entre el 15 y el 16 de octubre, durante la cual los paquetes descargados contenían el payload malicioso.

El objetivo del atacante era introducir un mecanismo de persistencia que se activara bajo condiciones específicas, evitando la detección inmediata. La presencia del backdoor se ocultó dentro de archivos PHP legítimos del plugin, lo que dificultó su identificación mediante escaneos superficiales.

Análisis técnico

El malware se manifiesta como código PHP inyectado que crea una función de escucha remota. Esta función permite la ejecución de comandos del sistema operativo y la carga de archivos adicionales, proporcionando al atacante un acceso de nivel de usuario al servidor web. La técnica de inserción se alinea con tácticas de TA0005 – Defense Evasion y TA0002 – Execution del marco MITRE ATT&CK, aunque el informe original no menciona explícitamente el marco.

El vector de entrega se basa en la suplantación del proceso de distribución oficial, lo que clasifica el incidente como un ataque de cadena de suministro. Al comprometer el paquete descargado desde el sitio oficial, el atacante garantiza que el código malicioso llegue a un amplio número de instalaciones sin que los administradores sospechen de su origen.

Una vez instalado, el backdoor permanece inactivo hasta que recibe una señal específica (por ejemplo, una petición HTTP con un parámetro secreto). En ese momento, el atacante puede ejecutar comandos arbitrarios, exfiltrar datos o instalar componentes adicionales, ampliando el alcance del compromiso.

Qué deben hacer los equipos de seguridad

  • Verificar la versión del plugin instalado. Si se está ejecutando v3.0.123, proceder a la eliminación inmediata.
  • Reemplazar los archivos del plugin con una versión limpia proveniente de una fuente verificada o, de ser posible, revertir a una versión anterior no afectada.
  • Ejecutar escaneos de integridad de archivos en el directorio wp-content/plugins/rank-math-pro para detectar modificaciones no autorizadas.
  • Revisar los logs de acceso web y del servidor en busca de peticiones sospechosas que contengan parámetros inusuales o intentos de ejecución remota.
  • Aplicar medidas de defensa en profundidad: limitar la ejecución de comandos PHP a través de disable_functions, restringir permisos de archivo y habilitar WAF con reglas específicas para WordPress.
  • Cambiar credenciales de acceso al panel de administración y a la base de datos, en caso de que el backdoor haya sido utilizado para capturarlas.
  • Monitorear la actividad del sitio después de la remediación para detectar comportamientos anómalos que pudieran indicar persistencia residual.
Fuente: BleepingComputer