Contexte du plugin
Rank Math PRO est un plugin SEO premium largement déployé sur les sites WordPress. Sa popularité provient de fonctionnalités avancées telles que l’optimisation des métadonnées, la génération de sitemaps et l’intégration avec Google Search Console. Cette diffusion massive en fait une cible attractive pour les acteurs malveillants cherchant à toucher un grand nombre de sites en une seule opération.
Nature de la compromission
Selon les informations disponibles, le plugin a été détourné pour injecter une porte dérobée capable de se réinstaller automatiquement après suppression. Le terme « self‑restoring » indique que le code malveillant possède un mécanisme de persistance qui ne dépend pas uniquement d’une simple insertion de fichier.
Mécanisme de restauration
Une porte dérobée auto‑restaurante s’appuie souvent sur les hooks de WordPress, comme init ou admin_init, pour réexécuter du code à chaque chargement. Elle peut également créer une tâche récurrente via WP‑Cron qui télécharge à nouveau le composant infecté depuis un serveur distant. Dans certains scénarios, le code cache des copies dans des répertoires non surveillés et les réactive via des appels HTTP internes.
Impacts et mesures d’atténuation
Une telle porte dérobée permet à un attaquant d’obtenir un accès complet au tableau de bord WordPress, de modifier le contenu, d’injecter du spam SEO ou d’exfiltrer des données utilisateur. Les administrateurs doivent vérifier l’intégrité des fichiers du plugin en comparant les sommes de contrôle avec la version officielle, réinstaller le plugin depuis le dépôt officiel, et désactiver les tâches planifiées suspectes. L’utilisation d’un WAF spécialisé WordPress et le renforcement des permissions de fichiers (par exemple, chmod 640 pour les fichiers PHP) réduisent la surface d’attaque. Enfin, la surveillance régulière des logs d’accès et des modifications de fichiers reste indispensable pour détecter rapidement toute réapparition du code malveillant.
