Plugin Rank Math PRO bị xâm nhập trong cuộc tấn công chuỗi cung ứng

Plugin SEO WordPress phổ biến Rank Math PRO vừa trở thành nạn nhân của một cuộc tấn công chuỗi cung ứng, khi tin tặc chèn mã độc vào một số gói cài đặt phiên bản 3.0.123. Sự cố ảnh hưởng đến những người tải xuống hoặc cập nhật plugin trong khoảng thời gian từ 20:02 UTC ngày 15/10 đến 07:12 UTC ngày 16/10.

Plugin WordPress bị xâm nhập

Phạm vi ảnh hưởng và cách xử lý

Theo Rank Math, các gói phiên bản 3.0.123 bị nhiễm chứa mã độc có thể cho phép kẻ tấn công chiếm quyền điều khiển website nếu plugin được kích hoạt. Nhà phát triển cho biết đã ngay lập tức gỡ bỏ các tệp bị ảnh hưởng và phát hành phiên bản sạch Rank Math PRO v3.0.124.

Những người dùng đã cài đặt và kích hoạt phiên bản 3.0.123 trong khoảng thời gian bị ảnh hưởng nên coi website của mình đã bị xâm nhập và khôi phục từ một bản sao lưu sạch được tạo trước sự cố.

Mã độc có thể tạo lại một backdoor ẩn mỗi khi có lượt truy cập trang, và cơ chế duy trì sự tồn tại của nó có thể khiến việc dọn dẹp thủ công trở nên rất khó khăn.

Mức độ nguy hiểm của mã độc

Mã độc có thể mang lại cho kẻ tấn công quyền truy cập lâu dài vào các website bị xâm nhập, đồng thời làm lộ thông tin đăng nhập, khóa API và các bí mật khác. Ngoài ra, nó còn có thể triển khai các tệp lõi WordPress giả, sửa đổi tệp .htaccess để thêm quy tắc cho phép các tệp .cache được thực thi như mã PHP, thả các tệp .cache chứa mã PHP, lên lịch tác vụ và cron job, cũng như chỉnh sửa các plugin và theme khác.

Đáng chú ý, kẻ tấn công còn có thể thực hiện thay đổi bên ngoài thư mục cài đặt WordPress. Quản trị viên website nên kiểm tra cả các tệp SSH authorized_keys, crontab của những người dùng hệ thống khác, các tiến trình đáng ngờ và bất kỳ vị trí nào mà tài khoản người dùng web server có quyền ghi.

Cảnh báo an ninh mạng

Khuyến nghị khắc phục

Với những người không thể khôi phục website từ bản sao lưu, Rank Math hướng dẫn quy trình xử lý thủ công gồm: xóa thư mục plugin Rank Math PRO, gỡ bỏ một bản ghi độc hại trong cơ sở dữ liệu, chặn tên miền của kẻ tấn công rank1cdn[.]com, đồng thời tìm và loại bỏ các tệp PHP đáng ngờ cùng những tài khoản quản trị viên không rõ nguồn gốc.

Sau khi đã xác minh website sạch, người dùng cần đổi toàn bộ mật khẩu và cài đặt phiên bản Rank Math PRO sạch.

Sự cố này là lời nhắc nhở rõ ràng về rủi ro từ các cuộc tấn công chuỗi cung ứng phần mềm. Với các website Việt Nam sử dụng WordPress — vốn rất phổ biến trong cộng đồng doanh nghiệp và blogger — việc kiểm soát nguồn gốc bản cập nhật, sao lưu định kỳ và theo dõi các thay đổi bất thường trên hệ thống là những biện pháp phòng vệ thiết yếu.

Biểu tượng SecurityWeek