Investigadores de seguridad han identificado una campaña en la que un atacante, en posesión de claves legítimas de paneles UpdraftCentral, envía comandos remotos firmados para instalar plugins que actúan como puertas traseras en sitios WordPress conectados. La actividad se observó de forma continua durante un periodo de 18 horas entre el 18 y el 19 de octubre; según los análisis, la campaña seguía activa al 19 de octubre y no existe aún una corrección del proveedor que la detenga.
Qué ocurre y por qué funciona
UpdraftPlus incluye un cliente de UpdraftCentral que permanece inactivo hasta que el sitio genera una clave y almacena la clave pública del panel. A partir de ese momento, el sitio acepta cualquier comando firmado con la clave privada del panel como legítimo y lo ejecuta con los permisos del usuario que creó la conexión. En esta campaña el atacante ha obtenido o tiene acceso a las claves privadas del servicio UpdraftCentral y envía un comando plugin.upload_plugin que instala y activa un plugin malicioso mediante el instalador estándar de WordPress.
Las señales analizadas indican que no se trata de una falsificación local: los ficheros de plugin son idénticos a los de la muestra maliciosa, las comprobaciones criptográficas del cliente pasan y los logs no muestran un administrador que haya subido los plugins. Tampoco las peticiones procedían de la infraestructura legítima del servicio, por lo que la evidencia apunta a una filtración o compromiso en el entorno de almacenamiento de claves del panel.
Cómo son las puertas traseras y por qué son peligrosas
Los plugins instalados actúan como backdoors persistentes. Enganchan la carga de WordPress en etapas tempranas y esperan un parámetro secreto en la URL con un token de 32 caracteres. Con ese token el plugin crea una cuenta con contraseña conocida, la etiqueta como Editor en la lista visible y, aparte, le otorga capacidades críticas como manage_options e install_plugins. También establece una cookie que autentica al atacante sin pasar por el formulario de acceso, lo que elude dos factores de autenticación y controles de intentos de inicio de sesión.
El resultado es que la cuenta inicial parece un Editor —por tanto puede pasar desapercibida en una revisión superficial— pero dispone de permisos que permiten promoción a administrador y ejecución arbitraria de código. Además la cuenta sobrevive a la eliminación del plugin: el usuario permanece en la base de datos y su credencial conocida permite el acceso posterior.
Indicadores y detección
- Nombre de plugin frecuente: «Site Health Cache» (reaparece varias veces). Otros nombres son combinaciones aleatorias de dos o tres palabras.
- Descripción de archivo repetida en todas las muestras: «Small maintenance toolkit: keeps option storage tidy.» — es un indicador fiable a nivel de fichero.
- Patrón de usuario creado: dos palabras seguidas de dos dígitos (por ejemplo data-ops43), con correo @example.org y display name «Site Tools»; además existe una opción en la base de datos que termina en _sync_token.
- Tráfico UpdraftCentral legítimo incluye una cadena con versión de librería y URL (por ejemplo WordPress/6.x; class-udrpc.php/x.x; https://teamupdraft.com). Las peticiones del atacante carecen de esos identificadores.
- En los logs de UpdraftCentral aparecen entradas como probe.central.updraftplus.com seguidas de «Command received: plugin.upload_plugin».
Impacto y acciones recomendadas
Quién afecta: cualquier sitio que haya aceptado una clave de UpdraftCentral, incluso si el administrador no recuerda haber activado el panel, porque la conexión puede crearse por defecto al usar TeamUpdraft. Dado que las instrucciones están firmadas correctamente con claves válidas, las versiones recientes del plugin se ven afectadas tanto como las antiguas.
Qué deben hacer administradores y propietarios de webs:
- Borrar inmediatamente las claves de UpdraftCentral en todos los sitios conectados. Esa es la medida correcta mientras no exista un parche del proveedor.
- Buscar e eliminar plugins con la descripción indicadora y nombres sospechosos (por ejemplo «Site Health Cache») y cualquier plugin que no reconozcan. No intente «arreglar» el código del plugin: corregir un error en la muestra analizada puede activar la puerta trasera.
- Revisar la lista de usuarios por capacidades (capability), no solo por el rol mostrado; controle cuentas con manage_options o install_plugins y compruebe usuarios con patrones de nombre indicados.
- Buscar en logs entradas de plugin.upload_plugin sin acción administrativa correspondiente y notificaciones de error de WordPress que nombran plugins desconocidos.
- Cambiar contraseñas de administradores y revisar archivos y cron jobs por persistencias adicionales.
Patchstack y Nethemba han publicado análisis y mitigaciones que bloquean los comandos remotos a nivel de detección y reglas; sin embargo, según los informes, no existe todavía una corrección oficial del proveedor que invalide las claves comprometidas. Manténgase atento a comunicaciones del equipo de UpdraftPlus/UpdraftCentral y planifique una auditoría completa de los sitios conectados.
Lee también:
- Citizen Lab confirma que spyware Candiru infectó dispositivos de Al Jazeera mediante anuncios online sin clics
- Modelos de OpenAI accedieron a sistemas internos y usaron una cartera de test para completar tareas
Fuente: Patchstack Blog
