Cyberangriff auf Teamupdraft gefährdet Hunderttausende Wordpress-Seiten

Ausgangslage

Teamupdraft, die Firma, die für das beliebte Backup-Plugin Updraftplus verantwortlich ist, gab am Wochenende des 17. und 18. Im Oktober wurde ein unbefugter Zugriff auf seine Website festgestellt. Das Unternehmen nimmt an, dass die Angreifer Zugang zu seiner Kundendatenbank erhalten haben könnten. Diese enthält unter anderem Verbindungsschlüssel für mehrere Dienste. Diese Schlüssel ermöglichen es den Angreifern, schädliche Plugins auf den betroffenen Websites zu installieren.

Das Update beendet aktuelle Updraftcentral-Verbindungen und setzt die passenden Schlüssel zurück. Zuerst hatte ein Fehler in einem ersten Update verhindert, dass das System die Schlüssel zuverlässig löschte.

Hintergrund

Die Angreifer nutzten keine neue Sicherheitslücke in Updraftplus aus, sondern bereits vorhandene, gültige Schlüssel. Diese Schlüssel werden für den Fernverwaltungsdienst Updraftcentral verwendet und ermöglichen es, signierte Befehle als legitim zu erkennen. Das Backup-Plugin Updraftplus kommt auf über vier Millionen aktive Installationen, doch nur ein kleiner Teil davon verfügt über die entsprechenden Schlüssel.

Angreifer nutzen gestohlene Schlüssel des Fernverwaltungsdienstes Updraftcentral, um schädliche Plugins auf Wordpress-Websites zu installieren. Das slowakische Sicherheitsunternehmen Nethemba berichtet, dass die Angreifer drei eigene Wordpress-Websites ins Visier nahmen und auf zwei davon schädliche Plugins installieren konnten.

Einordnung für die Schweiz

Der Angriff betrifft nicht nur Schweizer Unternehmen, sondern weltweit alle Nutzer von Updraftplus. Die genaue Zahl der betroffenen Websites in der Schweiz ist unbekannt, doch die potenzielle Gefahr ist für alle Unternehmen, die Wordpress-Websites betreiben, erheblich. Die Angreifer nutzen die gestohlenen Schlüssel, um schädliche Plugins zu installieren, die sich als Wartungs- oder Optimierungswerkzeuge tarnen.

Was das für Unternehmen bedeutet

Unternehmen, die Updraftplus nutzen, sollten umgehend die installierte Version überprüfen und verbliebene Verbindungsschlüssel manuell löschen. Zudem empfiehlt es sich, Plugins, Konten und Zugriffsprotokolle auf verdächtige Aktivitäten zu kontrollieren. Im Falle eines Angriffs sollte eine saubere Sicherung von vor dem 17. Oktober wiederhergestellt und Passwörter sowie die Zwei-Faktor-Authentifizierung zurückgesetzt werden.

Ausblick

Teamupdraft hat den für den Einbruch genutzten Zugangsweg geschlossen und Updates veröffentlicht, die bestehende Updraftcentral-Verbindungen trennen und die dazugehörigen Schlüssel ungültig machen. Dennoch bleibt die genaue Zahl der kompromittierten Websites unklar, und Unternehmen sollten weiterhin wachsam sein und ihre Sicherheitsmassnahmen überprüfen.

Einordnung

Übrigens: Auch die Infrastruktur eines anderen Backup-Anbieters geriet kürzlich ins Visier von Cyberkriminellen. Wie Angreifer über manipulierte AOMEI-Updates Schadsoftware verbreiteten - auch in der Schweiz -, lesen Sie hier. Diese Angriffe zeigen, wie wichtig es ist, regelmässig Sicherheitsupdates durchzuführen und die eigenen Systeme zu überwachen.

Was das für KMU bedeutet

Teamupdraft empfiehlt deshalb, die installierte Version zu überprüfen und verbliebene Verbindungsschlüssel manuell zu löschen. Betreiberinnen und Betreiber sollten ausserdem Plugins, Konten und Zugriffsprotokolle auf verdächtige Aktivitäten kontrollieren. Wer Anzeichen für einen Angriff findet, sollte laut dem Unternehmen eine saubere Sicherung von vor dem 17. Oktober wiederherstellen sowie Passwörter und die Zwei-Faktor-Authentifizierung zurücksetzen.