Майстер-ключі відкрили хакерам приховане захоплення мільйонів сайтів на WordPress

Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras

Фахівці з кібербезпеки виявили критичну вразливість у плагіні All-in-One WP Migration, що працює на понад п'яти мільйонах ресурсів під керуванням WordPress. Проблема ховається в механізмах імпорту та резервного копіювання: через маніпуляцію системними параметрами зловмисники витягують секретні ключі та отримують повний доступ до сервера без підбору логінів і паролів адміністратора.

Для SEO-команд та медіабаєрів, які активно використовують плагін для клонування прелендингів,вітрин та PBN-мереж, ця дірка несе пряму загрозу втрати контролю над усім пулом робочих доменів.

Механіка зламу та захоплення ресурсів

Вектор атаки б'є безпосередньо у процедуру перевірки прав під час фонового розгортання архівів:

1. Зловмисники експлуатують уразливість у системному обробнику та перехоплюють секретний токен (Import Key), який генерується під час рутинних процедур бекапу.

2. Використовуючи отриманий ключ в обхід панелі авторизації WordPress, нападник віддалено завантажує на сервер шкідливий архів із розширенням .wpress.

3. Плагін розпаковує отриманий файл, автоматично підміняючи базу даних сайту та модифікуючи системні файли ядра.

4. Впроваджений PHP-скрипт миттєво створює прихованого користувача з найвищими правами адміністратора, одночасно зачищаючи логи активності.

Для власника ресурсу процес виглядає цілком безневинно: у панелі хостингу це відображається як звичайна фонова синхронізація без жодних тривожних сповіщень.

Загроза для арбітражних PBN та панелей управління

Найбільшого удару зазнають команди, які автоматизують керування сателітами через MainWP, WP Umbrella чи схожі рішення. У таких сетапах плагіни міграції зазвичай залишають увімкненими на постійній основі, щоб швидко заливати нові шаблони чи розмножувати оглядові сайти під біле SEO.

Втрата майстер-ключа в такій конфігурації призводить до ланцюгової реакції:

• Хакери автоматично сканують діапазони адрес на наявність відкритих точок входу плагіна та викачують дані пачками.

• У централізованих зв'язках компрометація одного сайту швидко відкриває доступ до сусідніх ресурсів через збережені ключі доступу.

• Під удар потрапляють дорогі сетапи: контентні хаби під гемблінг, рев'ю-сайти під нутру та білі вітрини для e-commerce.

• Хостинги вішають суспенд на акаунти за спам або фішинг задовго до того, як вебмайстер встигає помітити чужий код у шаблонах.

Мережа з сотень доменів, яку вибудовували місяцями за допомогою якісних дропів, фактично переходить до рук третіх осіб за лічені хвилини.

Прихований Cookie Stuffing та злив конверсій

Головна небезпека полягає в тому, що сайт після зламу продовжує працювати у штатному режимі.Зловмисники не ламають верстку і не вішають банери, щоб не привертати уваги. Замість цього у вихідний код зашиваються модулі прихованого Cookie Stuffing та динамічної підміни реферальних хвостів.

Коли реальний клієнт переходить на сторінку з пошуку чи реклами у Facebook, шкідливий скрипт на льоту підміняє партнерські теги арбітражника на ідентифікатори хакерів. Власник сітки продовжує оплачувати сервери, дропи та контекстну рекламу, фіксуючи звичні кліки в аналітиці, поки реальні депозити та підтверджені CPA-ліди тихо нараховуються на сторонні акаунти.

Терміновий протокол захисту сайтів

Щоб захистити власні ресурси від захоплення та зупинити крадіжку трафіку, технічним лідам необхідно терміново реалізувати базовий комплекс заходів:

• Негайно оновити All-in-One WP Migration та всі його модулі до останньої версії із закритим патчем або повністю видалити плагін із сервера одразу після завершення міграції.

• Перевірити таблиці користувачів на наявність лівих адміністраторів через консольну утиліту WP-CLI або прямим запитом до таблиць wp_users та wp_usermeta.

• Порівняти контрольні суми файлів ядра та плагінів з офіційними даними репозиторію WordPress,щоб виявити замасковані бекдори.

• Змінити секретні ключі безпеки (SALT) у файлі wp-config.php, що миттєво обірве всі відкриті сесії користувачів у системі.

• Налаштувати фаєрвол на рівні Cloudflare, закривши прямий доступ до директорії wp-content/ai1wm-backups і заборонивши вхід до обробників плагіна для неавторизованих IP.

В арбітражній інфраструктурі будь-які плагіни перенесення даних мають бути суто тимчасовим рішенням: тримати їх на бойових доменах — це прямий ризик подарувати свій трафік конкурентам.

Комментарій автора:

Ця ситуація вкотре підкреслює вразливість розподілених PBN-мереж, де технічний борг і банальна лінь адмінів перекреслюють місяці роботи над позиціями у видачі. За сучасних реалій централізовані панелі без ізоляції доступів стають критичною точкою відмови для всього манімейкінгу,перетворюючи будь-яку свіжу CVE на гарантований злив чужого трафіку. 

Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras

👉🏻Слідкуйте за новинами в нашому telegram-каналі — Новини Арбітражу.