Der UpdraftPlus-Vorfall: Was wir am 19. Oktober getan haben

In der Nacht auf den 19. Oktober haben Angreifer auf zahlreichen WordPress-Websites ein fremdes Plugin installiert, auch auf Websites, die wir betreuen. Ohne Passwort, ohne Anmeldung. Der Weg führte über UpdraftPlus, eines der verbreitetsten Backup-Plugins. Wir setzen für unsere Kunden bewusst die kostenpflichtige Version ein, weil wir einen Premium-Service bieten wollen. Wir haben den Angriff am Morgen bemerkt, Stunden bevor der Hersteller ihn öffentlich machte. Als seine Mitteilung erschien, hatten wir die fremden Plugins bereits von allen betreuten Websites entfernt. Hier steht, was passiert ist, was wir an diesem Tag getan haben und was der Fall über die Pflege einer Website zeigt.

Was passiert ist

Laut der Mitteilung von TeamUpdraft vom 19. Oktober hat der Hersteller am Wochenende vom 17. und 18. Oktober einen unberechtigten Zugriff auf seine Website teamupdraft.com festgestellt. Nach seinen Angaben hatten die Angreifer dabei vermutlich Zugriff auf die Kundendatenbank. Darin lagen neben Namen, Mailadressen, Rechnungsadressen, Bestellungen und gehashten Passwörtern auch die Verbindungsschlüssel für UpdraftCentral. Kartendaten speichert der Hersteller nach eigenen Angaben nicht, Kartenzahlungen laufen über Stripe und PayPal.

UpdraftCentral ist eine Fernwartung: Man verbindet eine Website einmal mit dem Dienst und kann danach Backups, Updates und Plugins von zentraler Stelle aus steuern. Die Website vertraut jedem, der den passenden Schlüssel vorweist. Genau diese Schlüssel waren jetzt in fremder Hand.

In der Nacht vom 18. auf den 19. Oktober haben die Angreifer sie benutzt. Sie schickten den Websites den Befehl, ein Plugin zu installieren und zu aktivieren. Es trug einen unauffälligen, zufälligen Namen und diente als Hintertür: Damit lässt sich zum Beispiel ein verstecktes Administratorkonto anlegen. Ein Passwort brauchten die Angreifer dafür nicht, die Anmeldeseite haben sie gar nicht erst aufgerufen.

Was wir am 19. Oktober getan haben

Von diesem Morgen an ging es Schritt für Schritt:

• Weg nachweisen. Wir haben belegt, wie die Angreifer hereingekommen sind. Erst dann wussten wir, welche Websites gefährdet waren und wo wir suchen mussten.
• Zugang schliessen. UpdraftPlus haben wir auf allen betreuten Websites deaktiviert und gelöscht. Damit war der Fernzugang zu.
• Hintertüren entfernen. Wir haben auf jeder Website nach fremden Plugins gesucht und sie entfernt, in drei Durchgängen. Auf fast allen betroffenen Websites ging das nur über den abgesicherten Modus von WordPress, weil das fremde Plugin die Website lahmlegte. Das heisst: jede Website einzeln öffnen, das Plugin von Hand entfernen, prüfen, ob die Website wieder läuft.
• Schlüssel löschen. Wird UpdraftPlus gelöscht, bleiben die Schlüssel in der Datenbank liegen. Wir haben sie einzeln entfernt und das Ergebnis nachgeprüft.
• Auch die Websites ausserhalb unseres Wartungssystems. Einige Websites waren noch mit UpdraftCentral verbunden, obwohl sie nicht mehr in unserem Dashboard hingen. Die haben wir von Hand bereinigt.
• Protokolle erweitern. Unser Wartungssystem zeichnet jetzt mehr auf und bewahrt die Einträge 180 Tage auf.
• Informieren. Wir haben dem Hersteller geschrieben und unsere Kundinnen und Kunden angerufen oder angeschrieben.

Die Website, die am längsten betroffen war, hatte das fremde Plugin zwei Stunden lang. Bei anderen lagen zwischen dem Zugriff der Angreifer und der Bereinigung nur Minuten. An diesem einen Tag haben wir zu zweit 18 Stunden an der Bereinigung, an den Prüfungen und in Gesprächen mit Kunden verbracht.

Abgeschlossen ist die Sache damit nicht. Die Nachkontrolle auf den betroffenen Websites läuft. Der Hersteller hat inzwischen ein Update veröffentlicht. Wir warten trotzdem noch etwas, bevor wir UpdraftPlus wieder installieren.

Was der Fall zeigt

Ein stärkeres Passwort hätte hier nichts genützt, und ein fehlendes Update war es auch nicht. Der Angriff kam über einen Hersteller, dem man vertraut hat. Der Fall ist nur eine von vielen Arten, wie eine Website Probleme bekommen kann:

• Der Hersteller wird gehackt. Wie hier. Ein Plugin ist so sicher wie die Firma dahinter, und die sieht man nicht.
• Lücken in Plugins. Verbreitete Plugins bekommen regelmässig Sicherheitsupdates, manchmal mehrere im Monat. Wer sie Wochen liegen lässt, bleibt in dieser Zeit angreifbar.
• Updates, die etwas kaputt machen. Im August führte WordPress 7.1 zusammen mit einem verbreiteten Cache-Plugin zu einem fatalen Fehler. Darüber haben wir hier geschrieben. Blind jedes Update einzuspielen, ist also auch keine Lösung.
• Vergessene Zugänge. Alte Verbindungen zu Diensten, Konten ehemaliger Mitarbeitender, Schlüssel in der Datenbank eines längst gelöschten Plugins. Sie fallen niemandem auf, bis jemand sie benutzt.
• Alte Websites. Testkopien und Vorgänger-Websites, die noch online sind, sind eine zusätzliche Angriffsfläche, oft mit veralteter Software.

Warum Automatik allein nicht reicht

Ein Wartungsdashboard spielt Updates auf viele Websites gleichzeitig ein, und das ist gut so. Ohne Automatik lassen sich viele Websites nicht täglich pflegen. In dieser Nacht hätte sie allein aber nicht geholfen. Das Dashboard meldete keine neuen Plugins und keine neuen Benutzer, weil es genau diese Art von Änderung nicht protokollierte. Gefunden haben wir das fremde Plugin auf den Websites selbst. Und entfernen liess es sich nur von Hand, Website für Website.

Wir prüfen die Updates jeden Tag und gehen dabei alle Websites durch. Der Aufwand dafür ist inzwischen sehr gross, und er lässt sich nicht wegautomatisieren.

Deshalb gehört zu einer Wartung mehr als ein Update-Knopf:

• Jemand liest täglich, was die Hersteller melden, und weiss, welche Plugins auf welchen Websites laufen.
• Jemand entscheidet bei jedem Update, ob es sofort kommt oder erst nach einem Test.
• Jemand schaut nach dem Update auf die Website und nicht nur auf die Statusmeldung.
• Jemand hat ein Backup, das vor dem Problem liegt, und weiss, wie man es zurückspielt.
• Wenn es brennt, ist jemand da und ruft die Kunden an.

Was du jetzt tun kannst

Nutzt du UpdraftPlus mit UpdraftCentral, folge den Schritten in der Mitteilung des Herstellers: UpdraftPlus auf die neuste Version aktualisieren, den UpdraftCentral-Schlüssel löschen, unbekannte Administratoren entfernen, alle Plugins prüfen, auch die im Ordner für Must-Use-Plugins, und die Admin-Passwörter ändern. Dein Passwort bei teamupdraft.com solltest du ebenfalls ändern. Tippe die Adresse dafür selbst ein, statt einem Link in einer Mail zu folgen.

Bist du nicht sicher, ob deine Website betroffen ist, oder kümmert sich heute niemand täglich um sie, melde dich bei uns. Wir schauen sie uns an.

Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung von unserer Redaktion geprüft und freigegeben.

• IT-Sicherheit
• Updates & Releases
• WordPress