Entre el 17 y 18 de octubre, el sitio web de TeamUpdraft fue vulnerado, permitiendo el robo de la base de datos de clientes y, crucialmente, de las claves de conexión de UpdraftCentral. Con esas credenciales válidas, los actores maliciosos enviaron comandos autenticados a los sitios WordPress vinculados, creando cuentas de administrador y plantando 99 plugins diferentes disfrazados como herramientas de mantenimiento. Según BleepingComputer, aproximadamente 400,000 sitios WordPress, equivalentes al 10 % de todas las instalaciones de UpdraftPlus, podrían estar expuestos a un acceso no autorizado persistente.

Qué sabemos

La filtración incluye la lista completa de claves de conexión de UpdraftCentral, que permiten a un atacante comunicarse de forma segura con los agentes instalados en los servidores WordPress. Una vez en posesión de esas claves, los atacantes ejecutaron comandos remotos para crear usuarios con privilegios de administrador y, posteriormente, instalaron plugins backdoor. Cada plugin estaba nombrado como una supuesta herramienta de mantenimiento, lo que dificulta su detección a simple vista.

El ataque no se limitó a un número reducido de objetivos; la escala del compromiso sugiere que los actores aprovecharon la amplia base de usuarios de UpdraftPlus, que es uno de los plugins de respaldo más populares en la región LATAM. La presencia de 99 variantes de plugins backdoor indica una campaña automatizada y modular, diseñada para evadir firmas estáticas y prolongar la vida útil del acceso.

Análisis técnico

Los vectores de ataque se centraron en la autenticación basada en claves de UpdraftCentral. Al robar esas credenciales, los atacantes evitaron cualquier barrera de autenticación adicional, como MFA, que pudiera haber protegido la comunicación entre el panel central y los agentes. El uso de comandos autenticados permitió la ejecución de operaciones de alto nivel, como la creación de usuarios (wp user create) y la instalación de plugins (wp plugin install), sin necesidad de explotar vulnerabilidades de software subyacentes.

Los TTPs observados incluyen:

  • Robo de credenciales mediante brecha en la infraestructura del proveedor.
  • Uso de credenciales válidas para movimiento lateral hacia los clientes.
  • Despliegue de payloads en forma de plugins falsos, aprovechando la confianza del administrador del sitio.
  • Persistencia mediante cuentas de administrador creadas con privilegios completos.

El impacto es crítico: un atacante con acceso de administrador puede ejecutar código arbitrario, exfiltrar datos, instalar ransomware o usar el sitio como pivote para ataques a la red interna del cliente. Además, la presencia de múltiples versiones del mismo backdoor dificulta la remediación manual, ya que cada plugin puede estar bajo un nombre distinto.

Qué deben hacer los equipos de seguridad

  • Actualizar inmediatamente UpdraftPlus a la versión 1.26.13 o superior, o a 2.26.13 si se usa la rama 2.x.
  • Eliminar todas las claves de conexión de UpdraftCentral y generar nuevas desde la consola de TeamUpdraft.
  • Revisar la lista de usuarios en cada sitio WordPress y revocar cualquier cuenta de administrador desconocida.
  • Escanear los directorios wp-content/plugins en busca de plugins no autorizados o con nombres sospechosos.
  • Implementar MFA para todas las cuentas de administrador y, de ser posible, restringir el acceso a la API de UpdraftCentral mediante listas blancas de IP.
  • Monitorear logs de actividad de WordPress y de UpdraftCentral en busca de comandos de instalación o creación de usuarios inesperados.
  • Comunicar a los clientes la necesidad de revisar sus copias de seguridad y validar la integridad de los datos críticos.
Fuente: BleepingComputer