Riepilogo
Stiamo rispondendo a un incidente di sicurezza che riguarda PushEngage. Un aggressore ha ottenuto l'accesso a una credenziale per la nostra rete di distribuzione di contenuti (CDN) e l'ha utilizzata per fornire una versione manomessa del file JavaScript che questi prodotti distribuiscono ai siti dei clienti. Per un breve periodo, i siti che incorporano il nostro script hanno caricato questo file modificato direttamente dalla nostra CDN.
Il codice dannoso si attivava solo per gli amministratori di WordPress connessi. Quando veniva eseguito su un sito interessato, tentava di creare un account amministratore nascosto e installare un plugin backdoor nascosto, quindi inviava dati a un server controllato dall'aggressore. I normali visitatori del sito non erano presi di mira, ma poiché il codice può cedere il controllo di un sito a un aggressore, qualsiasi sito interessato dovrebbe essere trattato come compromesso.
Ambito – cosa è stato raggiunto e cosa no:
I nostri server applicativi, il nostro codice sorgente e i sistemi che archiviano le informazioni del tuo account PushEngage sono ospitati separatamente e non sono stati violati. Non abbiamo prove che i dati dell'account o i dettagli personali in nostro possesso siano stati accessibili. La compromissione è stata limitata al server del nostro sito di marketing e, tramite una chiave API CDN memorizzata su di esso, al nostro account CDN. È importante notare che ciò non riduce l'urgenza per i proprietari dei siti interessati: il file consegnato al tuo sito è stato manomesso, motivo per cui i passaggi seguenti sono comunque importanti se ti trovavi nella finestra di esposizione.
Chi deve agire ora: Se il tuo sito aveva PushEngage attivo e un amministratore era connesso durante la finestra di esposizione di seguito, tratta il tuo sito come compromesso e segui subito [Cosa controllare e fare](#what-to-check-and-do). I controlli più affidabili avvengono sul tuo server, non nella dashboard di WordPress.
Finestra di esposizione
In base ai log del nostro provider CDN, la configurazione non autorizzata con file manomessi è rimasta in vigore per circa diverse ore il 12 giugno 2026 (UTC). Per un sottoinsieme di utenti, ha continuato a essere servita fino al 14 giugno (UTC) da alcune località edge della CDN. Stiamo continuando a confermare il periodo preciso durante il quale sono stati serviti i contenuti interessati e aggiorneremo questo avviso man mano che verranno verificate ulteriori informazioni.
Solo i siti che hanno caricato lo script interessato con un amministratore connesso durante questa finestra potrebbero essere stati compromessi.
I file interessati erano gli script di incorporamento standard serviti da:
- https://clientcdn.pushengage.com/sdks/pushengage-web-sdk.js (PushEngage)
- https://clientcdn.pushengage.com/sdks/pushengage-subscription.js (PushEngage)
Cosa è successo
Un attaccante ha sfruttato una vulnerabilità nota in un plugin WordPress di terze parti (UpdraftPlus) per ottenere l'accesso al server che ospita il nostro sito web di marketing. Questo server è completamente separato: host diverso, infrastruttura diversa dai server delle applicazioni che eseguono PushEngage e che archiviano i dati dei clienti.
Sul server di marketing, l'attaccante ha individuato una chiave API per il nostro account CDN. Utilizzando tale chiave, non ha avuto bisogno di toccare affatto la nostra origine applicativa. Ha modificato i file che la nostra CDN stava servendo, quindi lo script manomesso è stato distribuito ai siti che lo incorporavano per un periodo limitato prima che rilevassimo e annullassimo la modifica.
Da allora abbiamo risanato il sito di marketing, migrato su un nuovo server e ruotato tutte le credenziali, inclusa la chiave API CDN.
Cosa ha fatto il codice malevolo
Su un sito interessato, quando un amministratore con accesso effettuato caricava una pagina, il codice tentava di:
- Confermare che fosse in esecuzione in un contesto di amministrazione di WordPress, quindi raccogliere i token di sicurezza necessari per agire come quell'amministratore.
- Creare un account amministratore nascosto. Gli account noti includono developer_api1 ([email protected]) e account casuali del tipo dev_xxxxxx.
- Installare un plugin di backdoor auto-nascosto che si cela dalla dashboard ed espone una web shell non autenticata e un endpoint di esecuzione del codice — concedendo di fatto il controllo completo del sito.
- Inviare le nuove credenziali e i dettagli del sito a un server controllato dall'attaccante.
Poiché la backdoor si nasconde dalle schermate di amministrazione di WordPress, la dashboard da sola non ti dirà se sei interessato. I controlli affidabili sono sul filesystem del server e tramite una scansione lato server.
Cosa controllare e fare
Se avevi PushEngage in esecuzione sul tuo sito web E un amministratore ha effettuato l'accesso al tuo sito WordPress durante la finestra di esposizione, fai quanto segue il prima possibile. Se non sei sicuro che un amministratore fosse connesso, è più sicuro controllare.
- Rimuovi gli account amministratore non autorizzati. Cerca developer_api1 / [email protected] e qualsiasi account dev_xxxxxx inaspettato, ed eliminali.
- Controlla il filesystem – non solo la dashboard – per la backdoor plugin. Sotto wp-content/plugins, cerca content-delivery-helper (“Content Delivery Helper”) o database-optimizer (“Database Optimizer”). Il travestimento ruota, quindi fidati di ciò che è sul disco piuttosto che di ciò che mostra la dashboard. Rimuovi quelli che trovi.
- Esegui una scansione malware lato server. Poiché il payload è stato eseguito solo per gli amministratori connessi, i controlli della dashboard e lato client non sono affidabili; una scansione lato server è il modo più affidabile per trovare la backdoor o qualsiasi ulteriore modifica.
- Se trovi uno qualsiasi degli indicatori sopra, assumi un compromesso completo e ruota tutto: password dell'amministratore, chiavi applicative/API, credenziali del database e le tue chiavi/salt di sicurezza di WordPress in wp-config.php. La backdoor ha permesso l'esecuzione di codice arbitrario, quindi potrebbero esistere ulteriori persistenza.
Se non trovi nessuno di questi indicatori e non hai avuto amministratori connessi durante la finestra temporale, il tuo sito è molto probabilmente non interessato e non sono richieste azioni oltre all'igiene standard (abilita l'autenticazione a due fattori, mantieni il software aggiornato).
Cosa abbiamo fatto finora
- Rilevato il manomissione e ripristinato immediatamente i file CDN interessati; svuotata la cache CDN in modo che vengano serviti file puliti.
- Revocata e ruotata la chiave API CDN e tutte le credenziali correlate.
- Rimedito il sito web di marketing compromesso e migrato su un nuovo server su un'infrastruttura separata.
- Confermato che i nostri server applicativi, il codice sorgente e i sistemi di dati dei clienti, che si trovano su un'infrastruttura separata, non mostrano alcuna prova di accesso.
- Coinvolto il nostro team di sicurezza e stiamo collaborando con il nostro provider CDN per ottenere i log di consegna.
Stato e rischio in corso
La nostra configurazione CDN è stata corretta e i file manomessi rimossi, le credenziali interessate sono state ruotate e il punto di ingresso sul nostro server di marketing è stato rimediato.
La rimozione dei nostri sistemi non pulisce un sito che era già compromesso. Se il tuo sito è stato interessato durante la finestra di esposizione, l'account amministratore non autorizzato e il plugin backdoor nascosto rimangono in vigore finché non li rimuovi utilizzando i passaggi precedenti. Ti consigliamo di agire tempestivamente. Aggiorneremo questa pagina se emergeranno ulteriori informazioni pertinenti.
Indicatori di compromissione
Per proprietari di siti e team di sicurezza:
Account non autorizzati:
- developer_api1 / [email protected] (account operatore fisso)
- dev_xxxxxx / [email protected] (account randomizzati)
Mascheramenti di plugin backdoor (in rotazione; controlla il filesystem):
- content-delivery-helper “Content Delivery Helper” v2.7.1
- database-optimizer “Database Optimizer” v2.9.4
Infrastruttura dell'attaccante:
- tidio.cc (dominio simile — NON il legittimo tidio.com)
Stringhe uniche:
- jX9kM2nP4qR6sT8v (chiave di crittografia utilizzata dal malware)
- WPM File Manager & Shell (interfaccia shell backdoor)
Contatti
Se hai domande, hai bisogno di aiuto per controllare il tuo sito o noti qualcosa di insolito, contattaci all'indirizzo [email protected]. Stiamo dando priorità alle richieste relative all'incidente e manterremo aggiornata questa pagina.
Proteggere i nostri clienti è una nostra priorità. Comprendiamo che questo incidente possa destare preoccupazione e ci rammarichiamo per qualsiasi interruzione che possa aver causato. Le informazioni di cui sopra riflettono la nostra indagine fino ad oggi e aggiorneremo questa pagina man mano che verranno confermati ulteriori dettagli.
