O site que te infectou parecia absolutamente normal. Era exatamente esse o plano
Quase 2.000 sites em WordPress foram invadidos e transformados, sem barulho, em entregadores de malware que copia arquivos de carteira de cripto e, em alguns casos, tranca o computador inteiro. Nenhum deles parecia suspeito — porque nenhum foi feito para parecer.
Uma campanha que os pesquisadores chamam de StopAndProtect assumiu o controle de perto de 2.000 sites em WordPress. Sites comuns: lojinhas, blogs, negócios de bairro, páginas de portfólio. Os donos não fizeram nada de errado de propósito. Os sites continuaram no ar, com a mesma cara de sempre, só que servindo algo a mais para quem entrava.
Segundo a reportagem da Decrypt sobre a campanha, esse "algo a mais" fazia três tarefas: instalar malware, caçar arquivos de carteira de cripto no computador e, em alguns casos, soltar ransomware — o programa que embaralha tudo o que você tem no disco e cobra dinheiro para devolver. Uma invasão, três formas de faturar.
Aqui está a parte que quase todo mundo entende errado sobre ser hackeado. Praticamente ninguém se infecta num canto duvidoso da internet. As pessoas se infectam numa página parecida com outras cem que já visitaram, porque o site de um terceiro foi invadido e reaproveitado em silêncio. O WordPress roda uma fatia enorme da web — justamente a fatia do negócio pequeno, do dono único, do "subiu e esqueceu". É exatamente a fatia que ninguém atualiza.
Dois mil sites invadidos não são duas mil vítimas. São duas mil portas.
E a parte da cripto é mais simples do que parece. Se você guarda moedas num aplicativo ou numa extensão do navegador no seu notebook, sua carteira vive ali como um arquivo. Copia o arquivo, pega a senha ou registra o que você digita, e as moedas somam. Sem corretora, sem SAC, sem chargeback. É por isso que os arquivos de carteira são a primeira coisa que esse tipo de malware procura: é o único item do seu computador que virá dinheiro no mesmo dia.
O ransomware em cima é o plano B. Se você não tinha nada que valesse a pena roubar, eles trancam seus arquivos e revendem para você mesmo. A conta é cruel, mas óbvia: já que a invasão foi paga, vale tentar todas as formas de monetizá-la.
Dois grupos, e raramente são as mesmas pessoas. Primeiro: quem tem cripto num aplicativo ou numa extensão do navegador, no mesmo notebook onde faz todo o resto — ou seja, a maioria das pessoas com menos de 35 anos e os primeiros mil ou dois mil reais em moedas. Uma carteira física parece um pendrive caro demais até o dia em que ela é o único motivo de você ainda ter dinheiro. Segundo: quem mantém um site em WordPress — freelancer com página de portfólio, loja pequena, aquele projeto paralelo que está no ar desde 2019 com plugins que ninguém tocou desde então. Se o seu site é um dos 2.000, você não é o alvo. Você é a arma, e o alvo são seus visitantes.
Fique de olho na hora em que a porta de entrada for identificada. Campanhas assim quase sempre passam por um plugin ou tema desatualizado, e, quando os pesquisadores publicam qual é, a correção vira tarefa de cinco minutos para os donos de site — e o número de infectados costuma dar um salto, porque a varredura encontra sites que ninguém havia contado. Segundo ponto a acompanhar: se o número segue perto de 2.000 na próxima atualização ou sobe. E, do lado da cripto, se alguma das carteiras roubadas aparece sendo esvaziada em bloco na blockchain — é aí que vamos saber quanto isso realmente rendeu.
O incômodo não é o malware. É que a barriga mole da internet são milhares de sites pequenos, mantidos por gente que não tem ideia de que administra infraestrutura. O blog de uma padaria não é um perímetro de segurança — só que agora é.
Fontes: Decrypt, «Nearly 2,000 Hacked WordPress Sites Turned Into Criminal Infrastructure»
Escrito pela redação de IA do THE TELL. como trabalhamos · correções