قبلاً در نوشدارو درباره روش‌های پیچیده نفوذ به سایت‌ها و شیوه‌های دور زدن لایه‌های امنیتی صحبت کرده‌ایم؛ اما این بار ماجرا از جایی آغاز شده که کاربران بیشترین اعتماد را به آن دارند: سرورهای رسمی یک شرکت نام‌آشنا. اگر وب‌سایت وردپرسی دارید، با افزونه سئوی «رنک مث» آشنا هستید. طبق بیانیه رسمی این مجموعه، نسخه‌های پولی این افزونه (Rank Math PRO) که در بازه‌ای ۱۱ ساعته بین ۲۳ و ۲۴ مهر ماه (۱۵ و ۱۶ اکتبر) دانلود شده‌اند، به بدافزار آلوده بوده‌اند.
این رخداد امنیتی با شدت خطر ۹٫۸ از ۱۰ ثبت شده است. شرکت امنیتی «پچ‌استک» حمله را از نوع «درِ پشتی» طبقه‌بندی کرده و شرکت «وردفنس» هم هشدار داده که بدافزار می‌تواند با هر بازدید کاربران از سایت، در پشتی پنهان خود را دوباره روی سرور بازسازی کند. مهاجمان از این طریق می‌توانند فایل‌های مخرب دیگری را در پوشه افزونه‌ها و قالب‌ها قرار دهند یا حساب‌های کاربری جعلی با دسترسی مدیر بسازند.
چه کسانی در معرض خطرند؟
خطر تنها متوجه سایت‌هایی است که نسخه پولی را از ساعت ۲۳:۳۲ شامگاه ۲۳ مهر تا ۱۰:۴۲ صبح ۲۴ مهر دانلود و بعد نصب یا فعال کرده‌اند. نسخه رایگان موجود در مخزن وردپرس با بیش از ۴ میلیون نصب فعال، کاملاً امن بوده و در این رخداد آسیبی ندیده است.
همچنین شماره نسخه ۳٫۰٫۱۲۳ از روز ۱۵ مهر در دسترس بوده؛ بنابراین اگر این نسخه را قبل از ساعت ۲۳ مهر دریافت کرده‌اید، سایت شما آلوده نیست. تاکنون مشخص نشده این فایل‌های مخرب چگونه به زنجیره توزیع نفوذ کرده‌اند یا چه تعداد سایت قربانی شده‌اند.
رنک مث نسخه سالم ۳٫۰٫۱۲۴ را منتشر کرده اما به‌روزرسانی صرف به ورژن جدید مشکل را حل نمی‌کند؛ چون فایل‌ها، دسترسی‌ها و وظایف زمان‌بندی‌شده‌ی مخرب در نقاط دیگر سرور ریشه دوانده‌اند. اگر احتمال آلودگی می‌دهید، باید فرض را بر این بگذارید که تمام رمزها، اطلاعات دیتابیس و کلیدهای API فاش شده‌اند.
راهنمای پاک‌سازی سایت
اگر نسخه مشکوک را تنها دانلود کرده‌اید اما نصب یا فعال نکرده‌اید، جای نگرانی نیست. اگر افزونه نصب شده اما فعال نشده، پوشه افزونه را پاک کنید، نسخه ۳٫۰٫۱۲۴ را از پنل کاربری رنک مث نصب کنید و یک اسکن امنیتی انجام دهید. اما اگر افزونه در بازه مذکور روی سایت شما فعال شده، مراحل زیر را با دقت بالا اجرا کنید:
۱. بازیابی از نسخه پشتیبان (بهترین راهکار)
اگر از قبل از ساعت ۲۰:۰۲ روز ۱۵ اکتبر (UTC) یک بکاپ کامل و سالم از فایل‌ها و پایگاه داده در اختیار دارید، سایت را به‌طور کامل به آن تاریخ بازگردانید.
۲. توقف بازسازی بدافزار (در صورت عدم دسترسی به بکاپ سالم)
اگر نسخه پشتیبان ندارید، پیش از هر تغییری سه اقدام زیر را به ترتیب انجام دهید:
- پوشه rank-math-pro را با ابزار مدیریت فایل هاست یا ارتباط FTP به‌طور کامل حذف کنید (غیرفعال کردن از پیشخوان وردپرس کافی نیست).
- در پایگاه داده و جدول wp_options، ردیف‌هایی با نام‌های _uf6qdn2hmm، t8krdk990phb و _np5pvf754c را پیدا و حذف کنید.
- در صورت امکان از طریق فایروال سرور یا تنظیمات هاست، هرگونه ارتباط خروجی به دامنه rank1cdn[.]com را مسدود کنید.
۳. پاک‌سازی عمیق ردپای نفوذ در سرور
- حساب‌های کاربری مدیر با نام کاربری دارای پیشوند _wpsupport یا آدرس‌های ایمیل با پسوند wp-mail[.]net@ را حذف کنید.
- فایل ناشناخته و مخرب wp-includes/class-wp-cache-util.php را پاک کنید.
- پوشه تم‌ها، دایرکتوری wp-content/mu-plugins و فایل htaccess. را برای کدهای مشکوک (نظیر اجرای فایل‌های .cache با مفسر PHP) بررسی کنید و کارهای زمان‌بندی‌شده (Crontab) سرور با برچسب #ms6v46 را حذف نمایید. به هشدار وردفنس توجه داشته باشید: نبود این نشانه‌ها لزوماً نشانه پاک بودن سایت نیست.
۴. تغییر تمام کلیدها و دسترسی‌ها
حتی پس از بازیابی بکاپ، باید تمام اطلاعات حساس را بازنشانی کنید: رمزهای عبور کاربران وردپرس، نام کاربری و رمز پایگاه داده در wp-config.php، کلیدهای امنیتی (Salts)، کلیدهای API سامانه‌های پیامکی و درگاه‌های پرداخت، رمزهای FTP، SSH و کنترل‌پنل هاست و فعال‌سازی مجدد تایید دو مرحله‌ای.
در پایان یک اسکن امنیتی کامل روی سایت اجرا کنید و نسخه سالم ۳٫۰٫۱۲۴ را تنها از طریق مراجعه و ورود مستقیم به سایت رسمی rankmath.com دریافت نمایید. رنک مث هشدار داده که هرگز لینک ورود یا دانلود را با ایمیل برای کاربران ارسال نمی‌کند.
آدرس مطلب: https://nooshdaroo.ir/security-tools/rank-math-pro-wordpress-hijack/
