Claves robadas de UpdraftCentral meten puertas traseras en webs WordPress

Qué ha pasado

El 19 de octubre, Patchstack alertó de que un atacante con claves válidas de UpdraftCentral, el panel para gestionar varias webs a distancia del conocido plugin de copias de seguridad UpdraftPlus, estaba instalando plugins con puerta trasera en las webs WordPress conectadas. La primera instalación detectada fue el 18 de octubre a las 15:32 y la campaña siguió durante unas 18 horas. Patchstack contó 99 nombres distintos de plugins maliciosos, muchos disfrazados de herramientas de mantenimiento.

No es un fallo de programación y no tiene CVE: las órdenes llegaban firmadas con claves auténticas, así que para la web eran legítimas. Según Patchstack, la puerta trasera crea una cuenta que luego puede convertirse en administrador e instalar plugins, inicia sesión con una cookie persistente que se salta el formulario de acceso y el doble factor, y sigue ahí aunque se borre el plugin.

En los días siguientes, TeamUpdraft reconoció un acceso no autorizado a su web, con su base de clientes probablemente expuesta, y publicó UpdraftPlus 1.26.13 (gratuito) y 2.26.13 (Premium), que desconectan las conexiones de UpdraftCentral creadas antes del 18 de octubre. Según CSO Online, UpdraftPlus supera los cuatro millones de instalaciones activas, pero solo están expuestas las webs con una clave de UpdraftCentral activa. Las copias guardadas en el almacenamiento propio del cliente no se vieron afectadas.

Por qué le importa a tu empresa

UpdraftPlus está en muchísimas webs de pymes, a menudo instalado por la agencia que las montó. Patchstack advierte de que la pantalla de conexión trae una casilla marcada por defecto que crea una clave, así que puedes tener una aunque nunca hayas usado UpdraftCentral. Y actualizar el plugin retira las claves viejas, pero no elimina los plugins ni los usuarios que el atacante ya haya creado.

Mi opinión

Las herramientas de gestión remota son cómodas y, bien usadas, mejoran el mantenimiento. Pero cada una es una llave maestra guardada en casa de otro. Cuando esa casa se ve comprometida, tu web también, aunque la tengas impecable.

Mi criterio práctico: mantener conectadas solo las herramientas que se usan de verdad, revisar de vez en cuando qué conexiones remotas tiene cada web y, sobre todo, vigilar la lista de usuarios. Un administrador nuevo que nadie conoce es la señal más barata de detectar y la que más se ignora. En XEVIA incluimos ese repaso de accesos y conexiones en nuestras revisiones de WordPress, porque es donde estos incidentes se ven antes.

Qué hacer hoy

• Entra en UpdraftPlus, ve a la sección de UpdraftCentral en las herramientas avanzadas y borra todas las claves, aunque creas que nunca lo usaste.
• Actualiza a UpdraftPlus 1.26.13 o 2.26.13 Premium.
• Revisa usuarios y plugins: busca editores con permisos extra, plugins de mantenimiento que no instalaste o con el nombre Site Health Cache.
• Si encuentras algo, restaura desde una copia limpia anterior al ataque, cambia contraseñas, cierra todas las sesiones y vuelve a configurar el doble factor.
• Si tienes cuenta en TeamUpdraft, cambia su contraseña y renueva las claves de acceso a tu almacenamiento remoto si la web estaba conectada.