Uma das plataformas que fornece a base textual para milhões de sites ao redor do mundo, o wordpress está sendo vítima de um novo tipo de código venenoso capaz de infectar páginas com malwares. Segundo o pesquisador Ned Andonov, da empresa que produz o plugin de defesa Wordfence, a maneira como o método é aplicado é bastante sofisticado; e somente um especialista em segurança experiente é capaz de detectá-lo.
“A abstração do código parecia quase perfeita, cada método de classe era bem comentado, a lógica de negócios parecia razoável e o código estava seguindo os padrões de qualidade mais recentes”, explica Andonov em seu blog. No entanto, um elemento específico denuncia o golpe: o uso excessivo da variável “$indicies”.
O especialista em segurança afirma que a função geralmente é usada para despistar a ação de funções suspeitas, impedindo a detecção por filtros de proteção. Outro ponto que chamou a atenção do pesquisador é o fato de que o malware é extraído a partir de imagens no formato PNG — indício de que o código foi escrito por um profissional, que inseriu no programa capacidades de execução remota, atualizações e acesso aos arquivos da vítima.
Ameaça difícil de detectar
“Uma das ‘pistas’ típicas de malware é que muitos deles são mal escritos ou isso é feito de forma descuidada, usando práticas de programação procedural, e muito deles são ofuscados. Este malware foi bem escrito, usando práticas de programação orientadas a objetos, o que implica que foi criado por um desenvolvedor profissional e não parece ser ofuscado”, explicou Andonov.
“Todos esses fatores contribuem para que o arquivo seja ofuscado de uma maneira muito eficaz: parece normal, e seria necessário um analista de segurança experiente para detectar qualquer coisa suspeita sobre ele”, continua o especialista da Wordfence. Ele afirma que a única forma de combater ameaças do tipo é ficar atento a detalhes dos códigos que denunciam suas atividades maliciosas, algo que não é exatamente simples.
“O malware evolui, mas isso também acontece com as técnicas usadas por pesquisadores de malware”, observa Andonov. Esta não foi a única ameaça que a empresa de segurança detectou no WordPress esta semana: na última quarta-feira (17), ela alertou sobre o popular plugin SEOPress, que trazia uma falha que comprometia a proteção de centenas de milhares de sites e que devia ser atualizado assim que possível.
