Algunas descargas de la versión 3.0.123 del plugin Rank Math PRO fueron comprometidas con malware que instalaba puertas traseras y robaba credenciales sensibles. El proveedor ya lanzó la versión limpia 3.0.124, pero advierte que actualizar el plugin no elimina la amenaza si ya fue activado. Se recomienda a los usuarios afectados restaurar copias de seguridad, eliminar manualmente los archivos maliciosos y cambiar todas sus contraseñas y claves.

Algunas descargas del complemento Rank Math PRO para WordPress desde el sitio web oficial del proveedor contenían malware que plantó puertas traseras ocultas en un ataque a la cadena de suministro la semana pasada.

Según el proveedor, un número limitado de usuarios que descargaron la versión 3.0.123 del complemento entre el 15 de octubre a las 20:02 UTC y el 16 de octubre a las 07:12 UTC recibieron versiones comprometidas que podrían comprometer sus sitios web al activarse.

“Los archivos del complemento afectados contenían malware que podría comprometer su sitio web si el complemento se activaba”, advirtió Rank Math [http://rankmath.com/kb/pro-3-0-123-security-incident/].

“Eliminamos inmediatamente los archivos afectados y lanzamos una versión limpia, Rank Math PRO v3.0.124”.

Los usuarios que instalaron y activaron la versión troyanizada durante este periodo de 11 horas deben tratar sus sitios web como comprometidos y seguir los procedimientos de limpieza en el aviso del proveedor.

Rank Math PRO es un complemento de optimización de motores de búsqueda (SEO) para WordPress que ayuda a los sitios web a mejorar la visibilidad en los resultados de búsqueda. Es la versión de pago de la variante gratuita que está activa en más de 4 millones de sitios web [http://wordpress.org/plugins/seo-by-rank-math].

Material sensible expuesto

Un aviso del proveedor [https://rankmath.com/kb/pro-3-0-123-security-incident/] destaca que solo la versión PRO fue comprometida y la versión gratuita de Rank Math SEO de WordPress.org no se vio afectada.

Rank Math afirma que el malware establece un acceso persistente, se comunica con ‘rank1cdn[.]com’ y recrea puertas traseras ocultas cuando alguien visita el sitio web infectado.

El proveedor advierte que los usuarios que instalan la versión comprometida de Rank Math PRO exponen credenciales de la base de datos, claves API y otros secretos accesibles para el servidor web.

Mientras investigaba el ataque, se descubrió una muestra de malware PHP en VirusTotal [https://www.virustotal.com/gui/file/f99a42f622e9a638f1b27dc051a48619a5a2d7f3432a4480fecf1413253629c9] llamada 'cache-preloader-fff033 (1).php' que parece estar conectada al compromiso de Rank Math.

Aunque este archivo no fue mencionado en los avisos de Rank Math o Wordfence [https://www.wordfence.com/blog/2026/10/rank-math-seo-pro-3-0-123-malware/], se encontró que contenía los mismos indicadores de compromiso (IoCs) incluidos en la alerta de Rank Math:

* clave de ofuscación XOR 'xmmqhn'
* la entrada de base de datos de WordPress '_np5pvf754c'
* el marcador de tarea cron '#ms6v46'
* código para crear cuentas de administrador utilizando el prefijo de nombre de usuario 'wpsupport_' y direcciones de correo electrónico '@wp-mail.net'

El malware parece actuar como un script de despliegue de primera etapa que crea la puerta trasera 'wp-includes/class-wp-cache-util.php' mencionada en el aviso de Rank Math.

El script PHP también incluye la capacidad de ejecutar comandos, modificar bases de datos de WordPress y robar credenciales de AWS, Cloudflare, Google Cloud, Azure, claves SSH y otra información sensible.

Si bien estos IoCs indican que está conectado al mismo actor de amenazas que el ataque de Rank Math, no se pudo confirmar si fue distribuido a través del complemento comprometido.

Recomendaciones de limpieza

Los administradores de sitios web que sospechen de un compromiso deben restaurar los archivos del sitio web y la base de datos desde una copia de seguridad limpia, ejecutar escaneos de seguridad y rotar todas las contraseñas, claves y salts.

Para los sitios web que no tienen una copia de seguridad segura para restaurar, Rank Math recomienda la limpieza manual, señalando que desactivar o actualizar el complemento después de un compromiso no eliminará la amenaza.

La limpieza requiere eliminar toda la carpeta del complemento y las entradas maliciosas de la base de datos antes de investigar puertas traseras adicionales, cuentas de administrador no autorizadas, archivos alterados, tareas programadas y posibles cambios fuera de WordPress.

También se recomienda bloquear todas las conexiones salientes al dominio rank1cdn[.]com del atacante.

Los usuarios que instalaron pero nunca activaron el complemento deben eliminarlo ahora, descargar la versión limpia 3.0.124 y luego escanear sus sitios.

Fuente:
BleepingComputer