После взлома TeamUpdraft злоумышленник использовал ключи облачного сервиса UpdraftCentral, чтобы устанавливать вредоносные плагины и создавать администраторов на подключённых WordPress-сайтах. Разработчик подтвердил этот способ атаки 21 октября. Несанкционированный доступ к самому сайту TeamUpdraft обнаружили 17–18 октября; компания считает, что атакующий получил доступ к клиентской базе, где хранились в том числе ключи подключения.

UpdraftCentral позволяет управлять несколькими сайтами из одной панели. Как объясняет Imunify360, подключённый сайт проверяет подпись команды своим ключом. Получив этот ключ, посторонний мог отправить команду установки плагина, которую сайт принимал как доверенную. Исследователи Nethemba обнаружили такой плагин на собственных сайтах — речь идёт о состоявшемся заражении, а не только о возможности атаки.

С вечера 18 октября и в течение 19-го запросы кампании дошли до WordPress-сайтов более чем на 2 200 серверах в сети наблюдения Imunify360. Это охват запросов, не число успешно взломанных серверов. В изученных образцах исследователи нашли плагины, которые создавали скрытого администратора либо позволяли войти под существующим; некоторые прятали себя или учётную запись из обычных экранов WordPress.

Вечером 19 октября TeamUpdraft выпустила UpdraftPlus 1.26.13 и Premium 2.26.13: эти версии отзывают прежние ключи и разрывают старые подключения к UpdraftCentral. Однако обновление не удаляет уже внедрённые плагины, созданные учётные записи и сеансы входа — их нужно проверять отдельно. 21 октября компания расширила предупреждение: проверить сайты стоит всем пользователям UpdraftPlus Premium, даже если они никогда не пользовались UpdraftCentral.

По заявлению TeamUpdraft, установочные файлы самого UpdraftPlus и самостоятельно размещённые панели UpdraftCentral не пострадали. Полный масштаб компрометации клиентских сайтов пока неизвестен. Здесь взлом одного поставщика превратил штатный канал администрирования в средство заражения: отзыв доступа к облачной панели останавливает новые команды, но сам по себе не возвращает владельцу чистый сайт.