… já está sendo articulado, para roubar dados de usuários! Em vista da sua imensa popularidade (+40% dos sites na Internet o utilizam), o WordPress recebe uma atenção especial por parte de cibercriminosos, com o objetivo de explorar as vulnerabilidades tanto do próprio sistema, quanto de plugins de terceiros. Por isto, devemos estabelecer práticas seguras para o seu uso e administração, com o objetivo de minimizar as possibilidades de ataques cibernéticos, os quais podem fazer um grande estrago não só nos sites hospedados, como também na nossa reputação. Inclusive, alguns destes ataques já estão ficando mais sofisticados…
“Hundreds of compromised WordPress websites are being used in a sophisticated malware-delivery campaign that combines browser persistence, blockchain-hosted payloads, fake reCAPTCHA prompts and fileless execution to deploy the Amatera information stealer on Windows systems. The campaign stands out for placing its malicious logic across nine layers designed to minimize durable evidence: no conventional payload server, few useful files to hash, and a browser-resident persistence mechanism that can outlive site-side cleanup.”
— by gbhackers.
Centenas de sites comprometidos (baseados no CMS WordPress) estão sendo usados numa campanha sofisticada de distribuição de malware, que combina a persistência de dados no navegador, o pagamentos hospedados em blockchain, falsos prompts de reCAPTCHA e a instalação do malware Amatera em sistemas Windows. A campanha se destaca por espalhar sua lógica maliciosa em nove camadas pensadas para deixar poucos vestígios: não há um servidor de payload convencional, poucos arquivos úteis para gerar hashes, e um mecanismo de persistência residente no navegador, que o torna capaz de sobreviver a uma limpeza do lado do site.
A infecção começa com um plugin malicioso que injeta um script e registra um Service Worker que intercepta respostas HTML, almém de remover cabeçalhos de Content-Security-Policy e injetar JavaScript controlado pelo atacante nas páginas visualizadas pelos visitantes. Esse componente ativa-se imediatamente e evita deliberadamente administradores do WordPress, ignorando requisições ligadas à área de login e administração, onde apenas visitantes comuns deslogados veem o prompt falso de verificação, enquanto que o dono do site (por ser mais capaz de perceber o comprometimento) não o vê.
O código injetado se conecta à blockchain Base e consulta um smart contract para buscar instruções da próxima etapa, em vez de hospedar o payload diretamente no site invadido ou em um servidor descartável. Conhecida como EtherHiding, esta técnica permite que o operador atualize as instruções (sem modificar o site comprometido) e dificulta a sua remoção, já que não é possível confiscar ou neutralizar um smart contract on-chain. O contrato entrega uma página falsa de verificação reCAPTCHA, que instrui usuários Windows a colar e executar um comando via Executar (Win+R), uma técnica de engenharia social conhecida como ClickFix, que transforma a própria vítima no mecanismo de execução do ataque (pois os usuários do Windows possuem cérebros de macaco-aranha)…
Esse comando aciona um arquivo disfarçado de MP3 que na prática, embute uma aplicação HTA, processada pelo utilitário legítimo mshta.exe do Windows. Isto cria uma tarefa agendada oculta e executa um comando PowerShell codificado, que reportadamente contorna o Constrained Language Mode, interfere na varredura do AMSI (Anti-Malware Scan Interface) e executa o restante do código em memória, sem gravar nada no armazenamento local. Em seguida, a cadeia baixa um carregador que se disfarça de uma ferramenta de segurança legítima, extrai um payload criptografado escondido dentro de uma imagem hospedada em um CDN legítimo e carrega o executável final diretamente na memória RAM. Finalmente, entra em cena o Amatera, também conhecido como ACR Stealer ou AcridRain.
O Amatera é um ladrão de credenciais para Windows, que visa obter dados de navegadores e outras informações sensíveis do sistema, comunicando-se com sua infraestrutura via DNS criptografado e TLS para reduzir a visibilidade dos mecanismos de defesa. Os administradores do WordPress deverão remover plugins suspeitos, revisar scripts JavaScript modificados, rotacionar credenciais e auditar as contas de administrador, destacando que a limpeza do site sozinha não basta, já que usuários que já registraram o Service Worker malicioso continuam expostos e precisam limpar os dados do site e desregistrar esses workers manualmente. Eles também devem tratar como suspeito, com qualquer CAPTCHA ou aviso que peça para colar um comando no Executar, Terminal ou PowerShell.
Tão elaborado e cronometrado, que parece um filme de ficção científica! &;-D