Esse código é injetado nos arquivos functions.php de todos os temas do site (e não só no tema ativo) e se espalha por todos os sites wordpress dentro do servidor. Isso mesmo, uma instalação wordpress comprometida vai infectar outros sites de outros clientes que estão instalados no mesmo servidor.

Ele é usado para fazer spam de SEO mas pode ser usado para outras coisas também uma vez que abre caminho para a criação de usuários administrativos diretamente no banco de dados.

Como esse malware é um tanto recente e não há muita informação disponível na internet. Então resolvi compilar um pouco do que encontrei, juntar com as minhas investigações e explicar como se livrar dele.

De onde vem?

Esse código malicioso aparece, vindo de plugins e temas instalados de fontes não confiáveis (conhecidos como “nulled plugins”). Sites que diponibilizam gratuitamente o download de plugins premiuns/pagos e que, geralmente, adicionam trechos de códigos maliciosos.

Não vou linkar nenhum dos sites maliciosos justamente para não ajudar a espalhar a praga. Mas tenha em mente que, sites que prometem gratuitamente plugins e temas que são pagos, geralmente carregam esse tipo de código malicioso!

Pra ser sincero, não sei qual a necessidade de instalar um plugin “pirata” no sistema. Se você precisa tanto do tal plugin, porquê não apoiar seu desenvolvedor e COMPRAR A LICENÇA?! Desculpa o desabafo.

Ao ativar um plugin desses, um código malicioso é executado adicionando arquivos, injetando códigos, criando tabelas e abrindo a brecha para que o hacker (i)responsável tenha acesso ilimitado ao sistema.

Sinais do ataque

Os indícios de que seu site foi infectado com esse código são:

1. Injeção de um bloco de código em todos os arquivos functions.php de todos os temas do site (em todos os temas, não apenas no tema ativo);
2. Criação da tabela wp_datalist no banco de dados do sistema;
3. Criação dos arquivos wp.class.php and wp-cd.php na pasta /wp-includes;
4. Inclusão de código malicioso no arquivo wp-includes/post.php;
5. Acessos de um usuário administrador que não é o seu. (Se você tem algum log de acessos ao site, fica mais fácil verificar isso. Recomento o: Sucuri Security Plugin).

Esse é o bloco de código adicionado (que pode variar um pouco dependendo do malware instalado):

Como se livrar disso?

1. Delete todos os arquivos core do WordPress;
2. Faça upload de novos arquivos baixados de wordpress.org (na mesma versão do seu sistema);
3. Delete o(s) plugin(s) que causaram o problema;
4. Re-instale todos os plugins que sobraram;
5. Limpe todos os arquivos function.php, de todos os temas (de preferência, apague e suba versões novas da fonte);
6. Delete a tabela wp_datalist da sua base de dados;
7. Rode uma verificação com o plugin Sucuri Security Plugin.

Curioso?

Se você ficou curioso pra saber mais sobre a estrutura desse malware, o usuário ecrider, criou um repositório no github com a engenharia reversa dos arquivos e seu código descompilado.

E, como ele mesmo avisa: Não tente rodar nenhum dos códigos a menos que você saiba exatamente o que está fazendo. Se possível, execute em um ambiente sandbox controlado para as suas pesquisas e use com cuidado.

Fonte

• https://www.reddit.com/r/Wordpress/comments/5ll3nk/weirdsuspicious_code_on_the_top_of_themes/
• https://github.com/ecrider/Black-SEO-WordPress-Malware
• https://wordpress.org/support/topic/code-added-to-functions-file/

O post Black SEO WordPress Malware apareceu primeiro em Vinicius Arantes.

Você já deve ter se deparado com o arquivo functions.php em seus temas e plugins. Ele é um arquivo PHP comum que é executado em todo request pro WordPress e portanto pode ser usado para adicionar ações (actions), filtros (filters), ativar recursos escondidos, ou desativados por padrão, alterar os menus, miniatura de posts, entre outras coisas. Esse é o lugar ideal para você criar seu próprio código customizado e alterar o seu tema.

Aqui tenho alguns snippets que costumo usar em meus projetos e algumas referências para outros snippets interessantes.

Meus Snippets

Os snippets que mais uso estão no gist abaixo. O que cada um faz, está descrito no comentário.

Outras fontes de Snippets

Esses são apenas alguns dos snippets interessantes que tem por aí. É bem legal você começar a reunir os snippets que você mais acha útil e deixá-los sempre à mão. Existem muitas outras fontes de consulta pela internet! Aqui tem algumas delas:

• https://premium.wpmudev.org/blog/shun-the-plugin-100-wordpress-code-snippets-from-across-the-net/
• http://blog.da2k.com.br/2015/01/14/wordpress-o-arquivo-functions-php/
• https://css-tricks.com/snippets/wordpress/
• http://www.wpfunction.me/
• http://wpsnipp.com/
• http://wp-snippets.com/
• https://www.todoespacoonline.com/w/2014/09/functions-php/
• http://www.bloglite.net/15-truques-extremamente-uteis-para-functions-php/

O post Snippets para o arquivo function.php apareceu primeiro em Vinicius Arantes.