Malware no Rank Math SEO PRO podia criar backdoors e expor credenciais. Atualizar o plugin pode não ter sido suficiente para limpar o site.
A equipa do Rank Math, plugin de SEO que é a principal alternativa ao Yoast, confirmou que algumas versões do plugin Rank Math SEO PRO 3.0.123 continham malware. O problema afeta apenas os pacotes descarregados ou instalados por atualização entre as 21h02 de 15 de outubro e as 08h12 de 16 de outubro, pelo que ter essa versão no site não significa automaticamente que tenha havido uma intrusão.
Assim que se apercebeu do sucedido, a empresa removeu os ficheiros comprometidos e lançou a versão 3.0.124 como substituição limpa. No entanto, a atualização não resolve o problema nos sites onde o plugin afetado chegou a ser ativado: nesses casos, a empresa aconselha a tratar o site como comprometido, uma vez que o malware pode criar backdoors, contas de administrador e tarefas agendadas, bem como expor palavras-passe, credenciais da base de dados e chaves de API acessíveis ao servidor.
Quem tiver instalado e ativado uma cópia afetada deve restaurar o site e a base de dados a partir de uma cópia de segurança anterior a 15 de outubro, se existir. Depois deve substituir todas as credenciais potencialmente expostas, instalar a versão 3.0.124 a partir da conta oficial e analisar o site e o servidor. Sem backup adequado, a empresa recomenda uma limpeza manual, idealmente feita por um profissional de segurança ou pelo alojamento.
Entre as maiores fontes de preocupação estão ligações para o domínio rank1cdn[.]com, entradas suspeitas na tabela wp_options, administradores desconhecidos com nomes começados por wpsupport_ ou emails @wp-mail[.]net, assim como ficheiros PHP em locais inesperados e ficheiros .cache com código PHP. A equipa do Rank Math também alerta que o malware podia recriar backdoors em visitas ao site, pelo que a remoção do plugin deve ser feita antes de eliminar os restantes ficheiros suspeitos.
A empresa diz ter identificado os utilizadores que descarregaram os pacotes afetados e recomenda que quem recebeu uma notificação siga as instruções de recuperação, mesmo que já tenham atualizado o plugin. Quem apenas descarregou a versão 3.0.123, sem a instalar ou ativar, não tem, segundo a Rank Math, indícios de comprometimento com base neste incidente.
E por aqui, uma importante lição: nunca atualizar plugins assim que as novas versões dão disponibilizadas. Devem, isso sim, esperar vários dias, ou até semanas.
Foto: Growtika via Unsplash
