O grupo de pesquisadores da GoDaddy Security identificou uma campanha de malware que ataca sites WordPress ao mesmo tempo em que usa perfis p\u00fablicos do Steam como canal de comando e controle. A atividade foi observada em cerca de 1.980 dom\u00ednios infectados ao redor do mundo. A campanha permanece ativa e envolve t\u00e9cnicas de camuflagem para evitar detec\u00e7\u00e3o.<\/p>\n
O funcionamento envolve coment\u00e1rios em perfis do Steam que cont\u00eam caracteres Unicode invis\u00edveis. Esses caracteres parecem apenas parte do texto vis\u00edvel, mas carregam instru\u00e7\u00f5es usadas pelo malware ao carregar as p\u00e1ginas infectadas. O ataque n\u00e3o depende de um servidor malicioso pr\u00f3prio, mas sim dessas mensagens ocultas para orientar o funcionamento.<\/p>\n
Al\u00e9m dos coment\u00e1rios ocultos, o malware tamb\u00e9m injeta um script externo em p\u00e1ginas WordPress comprometidas. Em uma amostra analisada, o arquivo JavaScript era hospedado em um dom\u00ednio controlado pelos atacantes e disfar\u00e7ado como uma biblioteca leg\u00edtima. O objetivo \u00e9 carregar a instru\u00e7\u00e3o de comando sem alertar o visitante.<\/p>\n
Para dificultar a detec\u00e7\u00e3o, o c\u00f3digo utiliza codifica\u00e7\u00f5es hexadecimais e octais em textos internos, nomes de fun\u00e7\u00f5es e endere\u00e7os. Fun\u00e7\u00f5es nativas do WordPress, como wp_enqueue_script, aparecem para parecer c\u00f3digo leg\u00edtimo em revis\u00f5es superficiais. A GoDaddy n\u00e3o identificou uma vulnerabilidade espec\u00edfica do WordPress como ponto de entrada.<\/p>\n
A porta dos fundos instalada no servidor permite respostas a requisi\u00e7\u00f5es POST com cookies de autentica\u00e7\u00e3o. Um cookie funciona como confirma\u00e7\u00e3o, sinalizando que a porta est\u00e1 ativa, enquanto outro permite o envio de c\u00f3digo PHP codificado para reescrever arquivos de plugins e temas. Mesmo com remo\u00e7\u00f5es parciais, o atacante pode reconstituir o ataque \u00e0 dist\u00e2ncia se a porta permanecer ativa.<\/p>\n
O uso do Steam como intermediary n\u00e3o \u00e9 incomum. Historicamente, hackers exploraram plataformas amplamente utilizadas para camuflar tr\u00e1fego malicioso, dificultando a detec\u00e7\u00e3o. Em 2017, perfis de Instagram foram usados de forma semelhante; em 2018, o YouTube tamb\u00e9m serviu de canal; em 2024, o GitHub apareceu como vetor de disfarce.<\/p>\n
Essa estrat\u00e9gia se baseia na percep\u00e7\u00e3o de confiabilidade associada a plataformas populares, reduzindo a chance de bloqueio imediato por ferramentas de monitoramento. A campanha ampliou a superf\u00edcie de ataque por meio de redes de sites WordPress, aumentando o potencial de impactos.<\/p>\n
Administradores devem buscar refer\u00eancias ao dom\u00ednio steamcommunity.com em arquivos de plugins e temas. Caracteres como U+200C, U+200D e U+2061 a U+2064 em strings s\u00e3o sinais de alerta. Requisi\u00e7\u00f5es de sa\u00edda para perfis do Steam tamb\u00e9m indicam infec\u00e7\u00e3o nos registros de rede.<\/p>\n
A GoDaddy recomenda restaurar o site a partir de um backup limpo anterior \u00e0 infec\u00e7\u00e3o. Limpezas parciais podem n\u00e3o eliminar a porta dos fundos, que pode reescrever o malware removido caso continue ativa no servidor.<\/p>\n","protected":false},"excerpt":{"rendered":"