Uma recente campanha de malware foi identificada comprometendo mais de 5.000 sites WordPress, criando administradores desonestos e instalando plugins maliciosos. Essa ação foi descoberta por pesquisadores da empresa de segurança c/side durante uma análise de resposta a incidentes. O domínio wp3[.]xyz foi utilizado como base para exfiltração de dados, mas o vetor inicial de infecção ainda não foi identificado.
Malware wp3.xyz compromete segurança de mais de 5.000 sites WordPress
Criação de administradores desonestos e roubo de dados
Após comprometer os sites, o malware carrega um script malicioso diretamente do domínio wp3[.]xyz. Esse script é responsável por criar uma conta de administrador desonesta chamada wpx_admin, utilizando credenciais presentes no código malicioso.
Além disso, o script baixa e ativa um plugin chamado plugin.php, projetado para capturar informações sensíveis, como:
- Credenciais de login;
- Logs administrativos;
- Outros dados confidenciais.
Essas informações são enviadas aos servidores dos invasores de forma disfarçada, simulando uma requisição de imagem.
Notícias Relacionadas
Segurança cibernética
FBI remove malware PlugX de milhares de computadores hackeados
O FBI removeu o malware PlugX de 4.250 computadores hackeados, desmantelando uma operação de espionagem cibernética vinculada a hackers patrocinados pelo estado chinês.
Ransomware AWS
Como o ransomware usa Amazon AWS para criptografar buckets S3
A nova campanha de ransomware Codefinger usa a criptografia SSE-C do Amazon S3, exigindo resgates por chaves AES-256. Descubra como o ataque funciona e como se proteger.
Etapas do ataque
O ataque é altamente sofisticado e segue um processo estruturado que inclui:
- Criação e registro da conta de administrador desonesta;
- Instalação do plugin malicioso para captura de dados;
- Verificação do status da operação para garantir que o ataque foi bem-sucedido.
Como proteger seu site WordPress
A empresa c/side recomenda algumas medidas essenciais para bloquear esse tipo de ataque:
- Bloquear o domínio wp3[.]xyz: Utilize firewalls e ferramentas de segurança para impedir conexões com esse domínio.
- Revisar contas e plugins instalados: Verifique regularmente a lista de administradores e os plugins ativos no seu site, removendo imediatamente quaisquer itens não reconhecidos.
- Fortalecer proteções CSRF: Implemente tokens exclusivos com validade curta e valide as requisições no lado do servidor.
- Ativar autenticação multifator (MFA): Essa camada adicional de segurança dificulta o acesso de invasores, mesmo que credenciais sejam comprometidas.
Manter a segurança do WordPress exige ações preventivas e monitoramento contínuo. Aplicar as melhores práticas pode evitar que o seu site se torne vítima de ataques semelhantes.
