חלון של אחת עשרה שעות, בין 15 באוקטובר ב-20:02 ל-16 באוקטובר ב-07:12 לפי שעון UTC. מי שהוריד בזמן הזה את תוספת ה-SEO בתשלום Rank Math PRO מאתר היצרן, או קיבל אותה כעדכון, קיבל קבצים שמישהו הכניס אליהם קוד זדוני. גרסה נקייה כבר יצאה, אבל אם התוספת הנגועה הופעלה באתר, להתקין את הנקייה מעליה לא מספיק.

מה קרה

התוקפים לא נגעו באתרים עצמם. הם הגיעו למקום שממנו כל האתרים האלה מורידים את הקוד, אתר ההורדות של היצרן, והחליפו שם את הקובץ. לשיטה הזאת קוראים מתקפת שרשרת אספקה.

רנק מאת' פרסמה על כך הודעה ב-16 באוקטובר, הסירה את הקבצים ושחררה את גרסה 3.0.124. הבעיה היא שמספר הגרסה לא מגלה כלום: הגרסה הנגועה נושאת את אותו מספר, 3.0.123, שיצא כבר ב-7 באוקטובר. עותק שהורד לפני החלון תקין, ואותו מספר בדיוק שהורד בתוכו אינו.

מה הנוזקה עושה ידוע עד כה כמעט רק ממה שהיצרן עצמו פרסם. לא הוא ולא חברת האבטחה Wordfence פרסמו ניתוח של הקוד, ואף אחד מהם לא אמר מי מאחורי זה. לפי ההודעה, הנוזקה יוצרת לעצמה גישה מתמשכת, מדברת עם שרת בשם rank1cdn, ומשחזרת את הדלת האחורית שלה בכל פעם שמישהו נכנס לאתר. בדרך היא עשויה להשאיר חשבונות מנהל שהשם שלהם מתחיל ב-wpsupport_, קובץ שמתחזה לרכיב של וורדפרס עצמה, ומשימות מתוזמנות בשרת. כל סיסמה, פרטי חיבור למסד נתונים ו-API key שהאתר יכול להגיע אליהם, צריך להניח שדלפו.

Wordfence נתנה לתקרית ציון 9.8 מתוך 10. חברת Patchstack הוסיפה שבמקרה כזה אין מה לחסום בחומת אש: הקוד הגיע מהיצרן, לא מהרשת. הגרסה החינמית של Rank Math מ-WordPress.org, זו שמותקנת על יותר מארבעה מיליון אתרים, אינה מושפעת.

למה זה חשוב לכם

חלק גדול מהאתרים הקטנים בישראל, של עסקים, חנויות וקהילות, בנוי על וורדפרס, ו-Rank Math היא אחת מתוספות ה-SEO הנפוצות בו. אם אתם מתחזקים אתר כזה, הוא עשוי להיות אחד מהם. ואם לא, שווה לדעת שאתר שנפרץ כך אפשר להפנות לכל תוכן שהתוקף רוצה, ושבין הסודות שדולפים ממנו נמצאים גם מפתחות הסליקה של החנות שקניתם בה.

מה עושים?

בעלי אתרים: בדקו במסך התוספות איזו גרסה מותקנת, והאם עדכנתם בשעות האלה. אם 3.0.123 הופעלה בתוך החלון, התייחסו לאתר כאל פרוץ גם אם מאז עדכנתם.

הדרך המועדפת היא שחזור: החזירו את האתר ואת מסד הנתונים מגיבוי שנוצר לפני 15 באוקטובר בערב, החליפו כל סיסמה ומפתח, ורק אז התקינו את 3.0.124 מהחשבון שלכם ביצרן.

בלי גיבוי נקי, מוחקים קודם את תיקיית התוספת כולה דרך מנהל הקבצים של האחסון או ב-FTP (כיבוי התוספת אינו מספיק), מוחקים את רשומות ה-wp_options שהיצרן מפרט בהודעה, וחוסמים תעבורה יוצאת ל-rank1cdn. אחר כך מחפשים את השאר: חשבונות מנהל חדשים, קבצי PHP בתיקיות שלא אתם יצרתם, ומשימות מתוזמנות.

בכל מקרה, גם אחרי שחזור: סיסמאות וורדפרס, שם המשתמש והסיסמה של מסד הנתונים והמפתחות בקובץ wp-config.php, מפתחות סליקה ודואר, לוח האחסון, FTP ו-SSH.

משתמשי הגרסה החינמית לא צריכים לעשות דבר.

העדכון, שהוא בדרך כלל העצה הראשונה שנותנים, הוא גם מה שהכניס כאן את הקוד. זה לא הופך עדכונים לרעיון רע, אבל כן מסביר למה גיבוי שאפשר באמת לחזור אליו שווה יותר מכל כלי ניקוי.