Uma campanha maliciosa recentemente descoberta está comprometendo sites WordPress por meio de um plugin disfarçado de ferramenta de segurança, permitindo que cibercriminosos assumam o controle administrativo e executem códigos maliciosos remotamente.
Alerta: plugin falso no WordPress dá acesso total a hackers
Plugin camuflado oferece acesso total ao sistema
Identificado como WP-antymalwary-bot.php, o falso plugin de segurança contém funções avançadas para manter o acesso persistente ao site. Além de ocultar sua presença no painel de administração, ele consegue executar comandos remotamente e se comunicar com servidores de comando e controle (C&C).
Segundo Marco Wotschka, pesquisador da Wordfence, o plugin também espalha código malicioso em outros diretórios e injeta scripts JavaScript utilizados para exibir anúncios não autorizados, gerando receita para os invasores.
Disfarces e mutações do malware
Detectado pela primeira vez no final de janeiro de 2025, o plugin continua ativo em novas versões, sob nomes variados como:
complementos.phpwpconsole.phpwp-performance-booster.phpscr.php
Ao ser ativado, o plugin concede acesso administrativo aos criminosos, utiliza a API REST do WordPress para injetar PHP malicioso em arquivos do tema e modifica caches de plugins populares para garantir que suas alterações permaneçam no sistema.
Código persistente e reinfecção automática
Uma das técnicas mais avançadas usadas pelo malware é o uso de um script chamado wp-cron.php. Este arquivo é responsável por restaurar automaticamente o plugin malicioso mesmo após sua remoção, reativando-o na próxima visita ao site.
Códigos maliciosos e injeções sofisticadas
Evoluções recentes do ataque mostram que os criminosos estão buscando scripts JavaScript de domínios comprometidos para veicular spam ou publicidade forçada. Esses anúncios aparecem nos sites invadidos, prejudicando a experiência do usuário e, muitas vezes, roubando a receita de plataformas como o Google AdSense.
Notícias Relacionadas
Segurança digital
Microsoft elimina senhas em novas contas com login biométrico
A Microsoft oficializou uma mudança significativa na forma como novas contas são criadas em seus serviços: a partir de agora, todas as novas contas da Microsoft serão configuradas com login sem senha por padrão. A mudança visa fortalecer a proteção dos usuários contra ataques cibernéticos comuns, como phishing, força bruta e reutilização de credenciais. Microsoft […]
Correção recente
Microsoft soluciona falha no Exchange Online que marcava e-mails do Gmail como spam
A Microsoft resolveu um erro crítico em seu sistema Exchange Online que vinha classificando, de forma equivocada, mensagens legítimas do Gmail como spam. O incidente, registrado sob o código EX1064599 no Centro de Administração do Microsoft 365, teve início em 25 de abril, às 09h24 UTC, e afetou diretamente a entrega de e-mails, redirecionando-os incorretamente […]
Em alguns casos, foram identificadas injeções do próprio código AdSense dos invasores em sites legítimos. Com isso, eles redirecionam os ganhos de cliques e impressões para suas próprias contas.
Técnicas mais amplas atingem plataformas de e-commerce
Além do WordPress, criminosos estão mirando lojas online baseadas em Magento. Um tipo de malware JavaScript, carregado em forma de imagem GIF falsa, coleta dados de checkout como informações de cartão de crédito, logins e cookies. O código é executado por meio de um servidor proxy reverso embutido no script.
De acordo com Ben Martin, da equipe de segurança da Sucuri, o uso do GIF falso e o tráfego manipulado tornam esse ataque particularmente difícil de detectar.
Backdoors baseados em CAPTCHA e RATs em Node.js
Em uma camada ainda mais complexa de ataque, os invasores usam CAPTCHA falsos para induzir o download de backdoors em Node.js. Estes, por sua vez, capturam informações do sistema, oferecem controle remoto e operam como proxies SOCKS5, redirecionando o tráfego por redes maliciosas.
Essa tática tem sido atribuída ao sistema de distribuição de tráfego (TDS) conhecido como Kongtuke, também identificado pelos nomes 404 TDS, Chaya_002 e LandUpdate808.
Conclusão e medidas de prevenção
Com a crescente sofisticação desses ataques, é fundamental que administradores de sites WordPress:
- Mantenham todos os plugins e temas atualizados.
- Façam auditorias regulares nos diretórios de instalação.
- Usem soluções de segurança confiáveis como Wordfence ou Sucuri.
- Evitem instalar plugins de fontes não verificadas.
Além disso, recomenda-se a verificação de arquivos como wp-cron.php e a análise de mudanças não autorizadas nos temas.
