WordPressのバックアップでおなじみのUpdraftPlusに関わる、少し珍しい形の攻撃が報告されています。セキュリティ企業のPatchstackによると、同じ開発元が提供する遠隔管理サービス「UpdraftCentral」の正規の鍵を持った攻撃者が、接続されているサイトへ裏口となるプラグインを入れて回っているとのことです。観測では10月18日の夕方から翌19日の朝にかけて、途切れずに続いていたとされています。

やっかいなのは、これがプラグインの欠陥ではない点です。UpdraftPlusの中には遠隔管理の受け口が最初から入っていて、サイトに鍵が登録されると、管理画面側の秘密鍵で署名された命令をそのまま実行します。今回の命令は本物の鍵で正しく署名されていたため、サイト側の確認はすべて通ってしまいました。最初に被害に気づいたNethembaの調査では、サイト側のファイルや鍵に改ざんの跡はなく、鍵が開発元のクラウド環境から漏れた可能性が高いと見られています。最新版でも同じように影響を受け、19日の時点で更新による修正はありません。

入れられたプラグインは、特定のURLパラメーターでアクセスされると隠しアカウントを作り、そのままログインさせる仕組みです。アカウントは見た目こそ編集者ですが、設定変更やプラグインの追加ができる権限を持たされています。管理者の一覧を眺めるだけでは見落としやすく、ログイン画面を通らないので二段階認証やログイン制限のプラグインも働きません。プラグインを消してもアカウントは残ります。

使った覚えがなくても鍵があるかもしれない

見落としがちなのが、遠隔管理を使っていないつもりのサイトです。TeamUpdraft.comのアカウントをつなぐ画面には、UpdraftCentralに追加するという項目があらかじめチェックされた状態で表示され、そのままログインすると鍵が作られます。バックアップのためだけに入れていたサイトでも鍵を持っていた例が見つかっており、鍵には有効期限もありません。WP-CLIが使えるなら wp option get updraft_central_localkeys で何か表示されれば接続済みです。管理画面ならUpdraftPlusの設定の「Advanced Tools」からUpdraftCentralの鍵の一覧を開き、すべて削除できます。ダッシュボード側からサイトを外すだけでは足りず、サイトに残った鍵を消す必要があります。消してもバックアップは動き続けます。

あわせて、説明文が「Small maintenance toolkit」で始まる見慣れないプラグインがないか、編集者なのに設定変更の権限を持つユーザーがいないかも確かめておくと安心です。見つかった場合は、先に鍵を消してから、無効化したプラグインを公開領域の外へ移すよう勧められています。管理画面から削除すると、プラグイン自身の後片付けで痕跡まで消えてしまうためです。アカウントが作られていたり、アクセスログに呼び出しの跡があったりするなら、攻撃前のバックアップからの復元まで考えたほうがよい段階です。

私たちのように複数のサイトを預かる制作会社にとって、遠隔管理は手放しにくい便利な道具です。ただ、今回のように管理する側の鍵が漏れると、つながっている全サイトが一度に危うくなります。原因の説明が出るまでは再接続を控え、どうしても遠隔管理が要る場合はプラグインを入れる権限のないアカウントで鍵を作る、という指摘も実務の参考になりそうです。