Hackers invadem 100 mil sites com falha em plugin do WordPress

Plugin 'Revslider' é incluído em temas do WordPress. Sites invadidos direcionam visitantes para vírus.

A empresa de segurança Sucuri, especializada na segurança de sites na web, alertou no domingo (14) para uma onda de ataques contra sites que usam a plataforma WordPress. Hackers estão se aproveitando de uma vulnerabilidade em um plugin para invadir as páginas e injetar uma praga digital que contamina os visitantes e mecanismos para controlar os sites infectados.

O WordPress é um sistema usado por sites de internet para gerenciar conteúdo e montar as páginas que serão enviadas aos visitantes. Projetado para facilitar a criação de blogs, o WordPress é usado por sites de todos os tamanhos. Uma de suas características é a possibilidade de acrescentar funções extras por meio de "plugins" e de alterar facilmente o visual do site com "temas".

O "wordpress.com" oferece hospedagem de blogs usando uma versão própria e limitada do WordPress. Sites hospedados nesse serviço não devem ser afetados.

A Sucuri confirmou os detalhes técnicos do ataque nesta segunda-feira (15). O plugin atacado se chama Revslider e a vulnerabilidade é explorada desde setembro, mas em escala menor. O plugin foi corrigido em julho, mas o desenvolvedor não comunicou a existência da falha. O WordPress inclui uma função para atualizar plugins, mas o Revslider é incluído como parte de "temas" (mudanças de visual). Muitos temas não foram atualizados, segundo a Sucuri, o que deixou os sites vulneráveis.

A versão avulsa do Revslider não é gratuita, o que dificulta uma atualização manual dos temas que usam o código vulnerável. O download do plugin custa 18 dólares (cerca de R$ 50).

Limpar um site infectado é uma tarefa complicada. Remover a infecção requer a substituição de dois arquivos do WordPress, "swfobject.js" e "template-loader.php". No entanto, os sites são alterados de outras maneiras para garantir que os hackers continuem tendo acesso ao blog, mesmo após o vírus ser eliminado. Não há informação sobre todas as mudanças feitas.

Se os mecanismos de controle deixados pelos hackers não forem removidos, o site voltará a ter o código maliciosos "em minutos", de acordo com a Sucuri. O Google já bloqueou 11 mil sites, mas a Sucuri estima que pelo menos 100 mil estejam contaminados. A onda de ataques foi batizada de "SoakSoak", porque o redirecionamento incluído nos sites leva os visitantes para o endereço "soaksoak.ru".

Ataque aos visitantes

Os hackers invadem os sites para alterar códigos e incluir um redirecionamento para um site com vírus. A Sucuri não informou que tipo de vulnerabilidade ou técnica é usada pelo ataque para contaminar os visitantes dos sites invadidos. A recomendação é manter o navegador e todos os plugins (Flash, Adobe Reader e Java) atualizados. Dessa maneira, o computador não deve ser infectado apenas ao visitar um site.

Fonte: Adobe, Google