Des versions de Rank Math PRO distribuées les 15 et 16 octobre contenaient un malware : voici comment réagir sur votre site.

Les utilisateurs de WordPress sont appelés à la vigilance. En effet, des copies de Rank Math PRO, la version payante de l’extension SEO Rank Math, ont été diffusées avec un code malveillant. L’éditeur l’a confirmé dans un avis de sécurité publié le 16 octobre. Ainsi, le logiciel piégé installerait une porte dérobée capable de se restaurer d’elle-même.

Rank Math PRO : ce que l’on sait de l’attaque

Selon l’avis de l’éditeur, seules certaines copies de l’extension sont concernées. Il s’agit des fichiers téléchargés depuis rankmath.com. Sont également touchées les mises à jour reçues automatiquement par les sites. Dans les deux cas, la fenêtre de distribution est précise.

Ce détail est important. En effet, l’attaque ne passe pas par une faille classique dans le code de l’extension. Le canal de distribution officiel a lui-même servi de vecteur. Autrement dit, un administrateur prudent, qui n’installait que des fichiers issus du site de l’éditeur, a pu être infecté.

Il s’agit d’une attaque par chaîne d’approvisionnement. Ce type d’attaque est redoutable. En effet, les victimes font confiance à la source et n’ont aucune raison de se méfier. Par ailleurs, les extensions payantes disposent souvent de droits étendus sur le site. Par conséquent, l’impact d’une compromission s’en trouve accru.

Une fenêtre de compromission d’un peu plus de onze heures

Les copies malveillantes ont circulé entre le 15 octobre à 20 h 02 UTC et le 16 octobre à 07 h 12 UTC. La période dure donc environ 11 heures et 10 minutes. Elle couvre une partie de la soirée et de la nuit en Europe.

Cependant, une durée courte ne veut pas dire un risque faible. Un site mis à jour automatiquement pendant la nuit a pu récupérer le fichier piégé. Aucun administrateur n’avait besoin d’intervenir. C’est pourquoi chaque site utilisant l’extension doit être contrôlé, même en l’absence de symptômes visibles.

Voici la règle posée par l’éditeur. Tout site ayant installé et activé l’une de ces copies doit être considéré comme compromis. La simple présence du fichier sans activation est moins grave. En revanche, dès que l’extension a été activée, le code a pu s’exécuter.

Une porte dérobée capable de se restaurer

Le titre de l’alerte évoque une porte dérobée « auto-restauratrice ». Cette expression désigne un code qui se réinstalle après avoir été supprimé. Toutefois, les informations disponibles ne détaillent pas son fonctionnement exact. Il faut donc rester prudent sur les mécanismes précis.

Néanmoins, la conséquence pratique est claire. Désactiver ou supprimer l’extension ne suffit probablement pas. Le code malveillant peut persister ailleurs sur le serveur et revenir. Ainsi, un nettoyage superficiel donnerait un faux sentiment de sécurité.

Une porte dérobée donne en général à un attaquant un accès durable au site. Il peut alors créer des comptes, voler des données ou déposer d’autres fichiers. Il peut aussi utiliser le site pour des campagnes de spam ou de redirection. Pour un site vitrine ou une boutique, les dégâts seraient autant techniques que commerciaux.

Que faire si votre site a installé Rank Math PRO ?

D’abord, déterminez si votre site est concerné. Vérifiez la date et l’heure de la dernière installation ou mise à jour de l’extension. Consultez pour cela les journaux de WordPress, ceux de l’hébergeur ou l’historique des sauvegardes. Ensuite, comparez ces horaires avec la fenêtre indiquée plus haut.

Si le site est concerné, traitez-le comme compromis. Voici les étapes recommandées :

• Mettez le site en maintenance ou isolez-le, le temps de l’analyse.
• Restaurez une sauvegarde saine, antérieure au 15 octobre à 20 h 02 UTC, si elle existe.
• Réinstallez WordPress, les thèmes et les extensions à partir de sources fiables.
• Recherchez des comptes administrateurs inconnus et des fichiers récemment modifiés.
• Examinez les tâches planifiées et le dossier des extensions à la recherche d’éléments suspects.

Ensuite, changez tous les secrets. Cela concerne les mots de passe des administrateurs, de la base de données, du FTP et du SSH. Pensez également aux clés d’API et aux clés de sécurité du fichier wp-config.php. En effet, un attaquant a pu les copier avant tout nettoyage.

Enfin, surveillez le site dans la durée. Activez la journalisation, puis contrôlez les connexions et les sorties réseau inhabituelles. Si vous gérez des données clients, évaluez vos obligations de notification en cas de fuite.

Ce qu’il faut retenir

• Les copies de Rank Math PRO téléchargées ou mises à jour entre le 15 octobre à 20 h 02 UTC et le 16 octobre à 07 h 12 UTC contenaient un malware.
• Un site ayant installé et activé l’une de ces copies doit être considéré comme compromis.
• La porte dérobée serait auto-restauratrice : supprimer l’extension ne suffit donc pas.
• Restaurez une sauvegarde saine, réinstallez les composants et renouvelez tous les identifiants.
• Suivez les consignes de l’avis de sécurité de l’éditeur, qui reste la référence pour les détails techniques.

Source : Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor