Como Plugins GPL Infectados com Backdoors Silenciosos Estão Drenando Seu Tráfego e Convertendo Visitantes em Robôs de Mineração de Criptomoedas
Você acha que está economizando dinheiro usando plugins GPL de sites não oficiais? A verdade é que muitos desses plugins vêm com backdoors silenciosos que transformam seu site em uma máquina de mineração de criptomoedas, drenando sua largura de banda e prejudicando a experiência do usuário. Enquanto você foca em conversões, um script invisível está usando o processador dos seus visitantes para gerar lucro para cibercriminosos. Vamos aos detalhes técnicos que ninguém conta.
O Mecanismo do Ataque: CPU do Visitante como Recurso
Backdoors em plugins GPL frequentemente injetam um minerador JavaScript (como o CoinHive, agora descontinuado, mas clones existem). Esse script é carregado em segundo plano no navegador do visitante, consumindo até 100% da CPU. Em um site com 1.000 visitantes/dia, o minerador pode gerar até $0.50/dia em Monero, mas para você, o custo é o abandono de página: taxas de rejeição disparam e conversões despencam. Pior: seu hosting pode suspender sua conta por consumo excessivo de recursos.
Além disso, o mesmo código malicioso pode abrir portas SSH, permitindo que o atacante instale backdoors permanentes no servidor. Uma vez lá, ele pode modificar arquivos principais do WordPress, até mesmo o wp-config.php, redirecionando tráfego para sites de phishing ou ads fraudulentos.
Como Identificar a Infecção (Sem Plugin de Segurança)
1. Verifique o uso de CPU no servidor: Acesse o terminal via SSH e execute top ou htop. Se um processo do Apache/PHP estiver consumindo 99% da CPU consistentemente, suspeite. Use strace -p [PID] para ver o que ele está executando.
2. Analise o tráfego de rede: Com tcpdump ou netstat, veja se há conexões suspeitas para IPs em portas não padrão (ex: 3333, 4444). Muitos mineradores usam websockets em portas altas para enviar hashes.
3. Inspecione o JavaScript carregado: Use o Inspect Element do navegador ou ferramentas como o Wappalyzer. Procure por scripts com nomes como “jquery.min.js” mas que na verdade são mineradores (tamanho acima de 20KB, ofuscados). Decodifique com JSBeautifier para ver funções como cryptonight() ou hashrate().
Proteção Definitiva: Hospedagem com Isolamento e Monitoramento
Nunca confie em plugins de fontes desconhecidas, mesmo que sejam GPL. Use apenas repositórios oficiais ou membros verificados. Exija que sua hospedagem ofereça isolamento de contas (como CloudLinux) para evitar que um site infectado afete outros. Configure mod_security com regras que bloqueiem scripts de mineração (Web Application Firewall).
Implemente monitoramento de integridade de arquivos com OSSEC ou WordPress Integrity Check. A cada hora, verifique se o hash dos arquivos do núcleo mudou. Use fechamento de portas no firewall do servidor (iptables) para bloquear portas de saída não autorizadas.
Por fim, desative execução remota de scripts no php.ini: disable_functions = exec, system, shell_exec, passthru. Nada de plugins que precisem de shell exec para funcionar – é um risco desnecessário.
A economia de R$ 50 em um plugin GPL falso pode custar R$ 5.000 em perda de tráfego e reputação. Seja implacável com a segurança: sua receita depende disso.