A segurança cibernética continua sendo um desafio constante para administradores de sites WordPress, especialmente diante de ataques sofisticados que exploram vulnerabilidades em sistemas desatualizados. Recentemente, mais de 1.000 sites foram alvo de uma infecção massiva envolvendo um código JavaScript malicioso, projetado para inserir múltiplos backdoors e garantir o acesso contínuo dos invasores.
Como funciona o ataque
De acordo com a análise do pesquisador de segurança da c/side, Himanshu Anand, os invasores implementaram quatro backdoors distintos para manter diversos pontos de reentrada. Isso significa que, mesmo que um dos backdoors seja detectado e removido, os criminosos ainda podem explorar outros para retomar o controle do sistema.
O código malicioso está sendo distribuído através do domínio cdn.csyndication[.]com, com cerca de 908 sites já identificados como portadores do script comprometido.
Os quatro backdoors detectados executam diferentes funções:
- Instalação de um plugin malicioso: Um complemento falso chamado “Ultra SEO Processor” é carregado no WordPress e utilizado para executar comandos remotamente.
- Modificação do arquivo wp-config.php: O JavaScript injeta código malicioso diretamente no arquivo de configuração principal do WordPress.
- Adição de chave SSH: Uma chave SSH controlada pelos invasores é inserida no arquivo ~/.ssh/authorized_keys, permitindo acesso remoto persistente.
- Execução de comandos remotos: Um payload de gsocket[.]io é carregado, provavelmente para abrir um shell reverso e permitir controle total do sistema.
Como se proteger
Para mitigar os riscos dessa ameaça, especialistas recomendam medidas imediatas:
Notícias Relacionadas
Segurança digital
Hackers invadem WordPress via falha no OttoKit
Falha no plugin OttoKit permite criação de contas de administrador sem autenticação e já está sendo explorada por hackers. Atualização urgente é recomendada.
Falha crítica
Fortinet corrige falha grave que permite alteração não autorizada de senha no FortiSwitch
Falha crítica no FortiSwitch permite alteração de senhas de administrador sem autenticação. Fortinet lança atualizações e recomenda medidas de proteção imediatas.
- Remova chaves SSH não autorizadas;
- Altere as credenciais de administrador do WordPress;
- Monitore os logs do sistema para identificar atividades suspeitas.
Nova onda de ataques compromete 35.000 sites
Paralelamente a esse ataque, outra campanha de malware afetou mais de 35.000 sites, redirecionando visitantes para páginas de jogos de azar em chinês. Essa ameaça se espalha através de JavaScript malicioso hospedado em múltiplos domínios, incluindo:
- mlbetjs[.]com
- ptfafajs[.]com
- zuizhongjs[.]com
- jbwzzzjs[.]com
- jpbkte[.]com
Os ataques parecem ter como alvo regiões onde o mandarim é amplamente falado, sugerindo um foco específico no mercado asiático.
Ameaça ao Magento
Além do WordPress, plataformas de comércio eletrônico também estão sendo visadas. Um relatório da Group-IB revelou que um agente de ameaça denominado ScreamedJungle está explorando vulnerabilidades conhecidas do Magento (como CVE-2024-34102 e CVE-2024-20720) para inserir um código JavaScript chamado Bablosoft JS em sites comprometidos. O objetivo é coletar impressões digitais dos visitantes, facilitando fraudes e ataques sofisticados.
Conclusão
A segurança digital exige atenção contínua, especialmente para administradores de sites WordPress e Magento. Atualizações regulares, monitoramento de atividades suspeitas e a remoção de acessos não autorizados são essenciais para evitar a exploração dessas vulnerabilidades.
