Godaddy

Cerca de 1.980 sites WordPress foram comprometidos por um malware que utiliza comentários de perfis da Steam Community para ocultar dados de comando e controle (C2). Os atacantes empregaram caracteres Unicode invisíveis para codificar um payload que gera uma URL para um script malicioso. Essa técnica permite que os hackers evitem a manutenção de uma infraestrutura C2 separada e contornem métodos tradicionais de detecção. A infecção inicial pode ter ocorrido por meio de logins de administrador roubados, credenciais FTP/SFTP comprometidas ou exploração de temas e plugins vulneráveis. O malware, uma vez instalado, utiliza carregamentos de páginas do WordPress para acessar perfis da Steam e extrair texto que, embora pareça benigno, contém caracteres invisíveis que disfarçam cargas maliciosas. O payload decodificado leva a um URL que injeta código JavaScript em todas as páginas do WordPress. Os pesquisadores da GoDaddy alertam que a defesa deve incluir a verificação de URLs da Steam, injeções de JavaScript suspeitas e conexões inesperadas. A restauração a partir de um backup conhecido é a ação recomendada para mitigar os danos.

Uma nova campanha de phishing está direcionando usuários do ManageWP, plataforma da GoDaddy para gerenciamento de sites WordPress, através de resultados patrocinados no Google. Os atacantes utilizam uma abordagem de adversário no meio (AiTM), onde uma página de login falsa atua como um proxy em tempo real entre a vítima e o serviço legítimo do ManageWP. Essa técnica permite que os criminosos capturem credenciais e, em seguida, solicitem o código de autenticação de dois fatores (2FA) para acessar as contas. Pesquisadores da Guardio Labs alertam que o resultado malicioso aparece acima do legítimo na busca por ‘managewp’, enganando usuários que confiam no Google para acessar o serviço. A campanha já afetou 200 vítimas únicas, e os pesquisadores conseguiram infiltrar a infraestrutura de comando e controle dos atacantes, revelando um sistema interativo de phishing. A plataforma ManageWP é amplamente utilizada, com seu plugin ativo em mais de 1 milhão de sites, o que aumenta a gravidade da ameaça. Os pesquisadores também encontraram um acordo em russo no código, indicando que a operação pode ser parte de uma estrutura de phishing privada.