Publicado en

Ataque de cadena de suministro compromete a OptinMonster: Más de un millón de sitios WordPress en riesgo

•Publicado enCiberataques

El riesgo de la cadena de suministro en el ecosistema WordPress

En un reciente y sofisticado incidente de ciberseguridad, se ha confirmado que los populares plugins de WordPress OptinMonster, TrustPulse y PushEngage han sido víctimas de un ataque de cadena de suministro (supply-chain attack). Este incidente, que afecta a la red de distribución de contenidos (CDN) de la empresa matriz Awesome Motive, pone de relieve la vulnerabilidad de las infraestructuras digitales cuando dependen de servicios externos centralizados.

¿Cómo se originó el compromiso?

El vector de entrada inicial no fue el código de los plugins en sí, sino una vulnerabilidad conocida en otro complemento, UpdraftPlus, presente en un servidor de marketing de la empresa. Aunque este servidor no estaba conectado directamente a los sistemas de producción o datos de clientes, almacenaba las credenciales de la cuenta CDN de la compañía.

Al obtener estas claves de API, los atacantes pudieron modificar archivos JavaScript legítimos distribuidos a través de la CDN. Esto permitió que los sitios web que utilizan estos plugins cargaran código malicioso de forma silenciosa, afectando potencialmente a más de 1,2 millones de instalaciones activas.

Mecánica del ataque y ejecución de malware

El ataque presentaba una característica particular: el código malicioso solo se activaba cuando un administrador de WordPress visitaba el sitio. Una vez activado, el script realizaba las siguientes acciones:

  • Exfiltración de datos: Captura de tokens de autenticación y nonces de seguridad.
  • Creación de cuentas persistentes: Uso de los tokens robados para crear cuentas de administrador fraudulentas (comúnmente bajo nombres como developer_api1).
  • Instalación de backdoors: Implementación de plugins ocultos que permitían el acceso remoto total y la ejecución de código PHP arbitrario.
  • Suplantación de identidad: Comunicación con dominios que imitaban servicios legítimos para evitar ser detectados por herramientas de monitoreo simples.

Recomendaciones críticas para empresas y administradores

Desde el departamento de ciberseguridad de Intedya, instamos a todas las organizaciones que utilicen soluciones de Awesome Motive a tomar medidas inmediatas para garantizar la integridad de sus activos digitales:

  1. Auditoría de usuarios: Revisar la lista de administradores y eliminar cualquier cuenta sospechosa o no reconocida.
  2. Inspección de archivos: Verificar el directorio wp-content/plugins en busca de complementos no instalados voluntariamente, especialmente aquellos con nombres genéricos como «Database Optimizer».
  3. Rotación de credenciales: Cambiar contraseñas de administración, claves de API, credenciales de base de datos y, fundamentalmente, las sales de seguridad de WordPress.
  4. Escaneo de integridad: Ejecutar análisis de malware a nivel de servidor para detectar posibles backdoors persistentes en el sistema de archivos.

Este incidente nos recuerda que la seguridad de una plataforma no solo depende de su propio código, sino de la robustez de toda su cadena de proveedores. La gestión de riesgos de terceros debe ser una prioridad en cualquier estrategia de cumplimiento y seguridad corporativa.

Fuentes