A marketing widget biztonsági döntés is
Egy céges weboldalra könnyen felkerül egy felugró ablak, kuponmező, push értesítés, chat modul, analitikai tag vagy kampánykövető script. A döntés általában marketingoldalról indul: több feliratkozás, jobb konverzió, gyorsabb kampányindítás, kevesebb fejlesztői munka. A látogató csak egy űrlapot vagy ajánlatot lát, a böngésző viszont külső JavaScript kódot is letölt és futtat.
Itt kezdődik a supply-chain kockázat. A weboldal működését a saját tárhelyen lévő fájlok, a pluginek, a sablonok és a külső szolgáltatóktól érkező kódok együtt határozzák meg. Számít, milyen külső script töltődik be, ki tudja módosítani ezeket a fájlokat, és milyen jogosultságú felhasználó nézi éppen az admin felületet.
Mi történt az OptinMonster és társai körül?
A Sansec kutatása szerint több, Awesome Motive érdekeltséghez tartozó WordPress marketing eszköz CDN-ről betöltött scriptjein keresztül rosszindulatú kód jutott el weboldalakra. A beszámolók az OptinMonster, TrustPulse és PushEngage érintettségét említik. A támadás különösen veszélyes formája, hogy a kód a WordPress admin környezetben bejelentkezett felhasználókat célzott, majd új admin fiókok és backdoorok létrehozását próbálta elérni.
A CDN-ről érkező kód is a weboldalad része
A CDN hasznos technológia: gyorsítja a betöltést, leveszi a terhelést a szerverről, és sok szolgáltató így juttatja el a saját widgeteit a weboldalakra. Biztonsági szempontból azt kell látni, melyik külső kód fut az oldalon, mire fér hozzá, és hogyan vesszük észre, ha megváltozik a viselkedése.
Egy marketing script látja az oldalt, képes DOM-elemeket módosítani, űrlapmezőket kezelni, hálózati kéréseket indítani, és bizonyos helyzetekben az admin felület kontextusában is fut. Ha a támadó ezen az útvonalon jut be, a probléma nem feltétlenül látszik a klasszikus WordPress pluginlistában. A vizsgálatnak ki kell terjednie a betöltött külső erőforrásokra, admin munkamenetekre, fájlváltozásokra és új felhasználókra.
Mit kell ellenőrizni egy érintett oldalon?
Egy ilyen incidens után a gyors pluginfrissítés csak az első lépés. A fontosabb kérdés az, hogy történt-e jogosulatlan változás, és maradt-e olyan hozzáférés, amely később újra aktiválható. Céges oldalon a vizsgálatot érdemes üzleti funkciók szerint is nézni: ajánlatkérő űrlapok, fizetés, regisztráció, hírlevél feliratkozás, admin belépések és emailküldés.
Külső scriptek
Fel kell térképezni, milyen marketing, analitikai, chat, popup vagy push szolgáltatások töltenek be JavaScriptet az oldalon.
Admin és fájlállapot
Ellenőrizni kell az új admin fiókokat, jogosultságváltozásokat, gyanús pluginokat, módosított fájlokat és ismeretlen cron vagy automata feladatokat.
Mentés és kulcsrotáció
A visszaállítási pontokat, admin jelszavakat, API kulcsokat, integrációs tokeneket és küldési hozzáféréseket együtt kell kezelni.
- Fut-e az oldalon érintett marketing plugin vagy kapcsolódó külső script?
- Létrejött-e új adminisztrátor, módosult-e jogosultság vagy ismeretlen felhasználó?
- Van-e friss, tiszta mentés a kompromittálódás előtti időszakból?
- Változott-e plugin, theme, uploads könyvtár vagy rejtett fájl a gyanús időablakban?
- Mely API kulcsokat, webhookokat, SMTP vagy hírlevél hozzáféréseket kell rotálni?
A karbantartási lista bővül a külső kódokkal
A WordPress karbantartás sok helyen még mindig pluginfrissítést és mentést jelent. A supply-chain incidensek miatt ennél szélesebb leltárra van szükség. Látni kell a külső CDN scripteket, tag manager beállításokat, marketing automatizmusokat, űrlapintegrációkat, emailküldő kapcsolatokat és admin szerepköröket is.
A jó működési rend kontrolláltan kezeli a marketingeszközöket. Minden külső scriptnek legyen felelőse, üzleti indoka, dokumentált helye és visszavonási módja. Ha egy szolgáltatónál incidens történik, gyorsan ki kell derülnie, érintett-e az oldal, mit kell kikapcsolni, és melyik mentésből lehet tiszta állapotot visszahozni.
A weboldal biztonsága nem áll meg a WordPress adminban. A böngészőben futó külső kódok ugyanúgy részei a működésnek, mint a pluginok, mentések és jogosultságok.
Így tesszük átláthatóvá a weboldal külső kódjait
Az 1data weboldal-karbantartási és üzemeltetési munkában a teljes webes működést nézzük: WordPress pluginok, külső scriptek, admin felhasználók, DNS, emailküldés, mentések, logok és üzletileg fontos űrlapok együtt adják a kockázati képet. Egy ilyen incidensnél nem elég egyetlen bővítményt kipipálni; azt kell látni, milyen útvonalon kerülhetett be kód, és maradt-e nyoma a rendszerben.
Átnézzük a külső marketing és analitikai scripteket, admin jogosultságokat, mentési pontokat és kritikus funkciókat. Ha kell, segítünk tiszta állapotba visszaállni, kulcsokat rotálni, felesleges plugineket kivezetni, vagy olyan egyedi megoldást építeni, amely kevesebb külső függőséggel működik.
