Conturi de admin apărute din senin — vector: Slider Revolution neactualizat

Un client a observat conturi de administrator necunoscute în WordPress și suspecta că .htaccess-ul e infectat. Realitatea era mai subtilă — și mai interesantă.

.htaccess-ul era curat

La analiză, .htaccess-ul conținea doar reguli legitime — de la Wordfence (WAF) și de la pluginul de cache — plus rewrite-urile standard WordPress. Nimic malițios. Greșeala comună aici e să te uiți doar la fișierul pe care-l bănuiești și să ratezi problema reală.

Vectorul de intrare: un modul neactualizat

Punctul de intrare era un modul vechi, neactualizat: Slider Revolution. E una dintre cele mai exploatate componente din ecosistemul WordPress — versiunile vechi au vulnerabilități cunoscute (upload arbitrar de fișiere / LFI) prin care atacatorii încarcă shell-uri și își creează conturi de admin.

Cum am rezolvat

• am actualizat (patch-uit) Slider Revolution la versiunea sigură — închizând ușa;
• am șters conturile de admin rogue;
• am rotit toate parolele și am regenerat salt-urile din wp-config.php;
• scan complet de securitate;
• 2FA pe conturile de admin;
• am setat wp-config.php pe permisiuni 400 (citire doar de owner);
• am ascuns pagina de login și am dezactivat xml-rpc.

Despre permisiuni

400 pe wp-config.php înseamnă: doar owner-ul citește fișierul — mai bun decât 444 (care lasă orice user să-l citească). WordPress funcționează normal cu 400; permisiunile nu revin singure, le relaxezi doar când editezi fișierul.

Lecția

Conturile de admin pe care nu le-ai creat = compromitere. Dar întrebarea reală e cum a intrat — de obicei un plugin/modul neactualizat. Actualizează întâi vectorul, apoi curăță; altfel revine.