Situação em 30/10: invasão ativa
Laudo de segurança · maxtovar.com.br
Desde 15 de setembro, alguém publica artigos de cassino e apostas no endereço do Instituto Max Tovar, em vários idiomas, sem que ninguém da equipe saiba. A última atividade do invasor foi registrada hoje, às 10h12.
O que aconteceu
Imagine que uma pessoa de fora conseguiu a chave de uma sala da empresa, a conta de quem faz o marketing. Em vez de roubar, passou a usar a sala para pendurar cartazes de cassino na vitrine, todos os dias.
Todos os dias. Desde 1º de setembro foram mais de 1.700 tentativas falhas. A conta principal resistiu porque tem verificação em duas etapas.
Acertou a senha de primeira. Em pouco mais de um minuto, usou 4 endereços de internet diferentes, comportamento típico de quem quer esconder a origem.
A partir daí, vários por dia, em muitos idiomas.
O invasor coloca links de cassino dentro da home, e depois na versão em inglês. O texto fica fora da tela: você não vê, mas o Google lê.
21 artigos em um único dia.
O invasor entra de novo e edita páginas. A atividade continuava hoje.
Não foi um "bug" nem uma falha misteriosa. Foi uma conta de acesso, sem verificação em duas etapas, usada por quem já sabia a senha.
Ainda não sabemos como a senha chegou ao invasor: pode ter vazado de outro serviço ou ser fácil de adivinhar.
Por que o parceiro viu um bloco de código estranho? O invasor escondeu o texto de cassino dentro de uma caixa de código na página inicial. Em alguns momentos ela aparece na tela, com o texto escrito dentro.
O que o invasor não fez (até onde conseguimos ver): não criou novos usuários, não instalou programas no servidor e não mudou o endereço do site. Ele usou apenas o que a conta de marketing já podia fazer.
A lista completa
Clique em qualquer título para abrir o artigo no site. Todos foram publicados pela conta de marketing invadida, de 15/09 a 30/10. Ao apagar um por um, confira esta lista: ela é a conferência de que nenhum ficou para trás.
O que está em jogo
Um instituto de autoconhecimento, retiros e mentorias vende confiança. Hoje, o nome dele aparece ao lado de jogos de azar, e dados de pessoas ficaram expostos.
O que acontece com o endereço na internet
O que as pessoas pensam do Instituto
Alunos, pacientes e quem já comprou
Uma boa notícia: não encontramos nada que redirecione visitantes para sites de cassino. O dano são os textos e artigos publicados, e isso é possível limpar.
O que fazer, em ordem de urgência
A primeira fila é para hoje. Enquanto ela não for resolvida, o invasor continua dentro e novos artigos continuam sendo publicados.
O invasor esteve aqui hoje. Cada hora a mais é mais spam e mais exposição.
O que é: bloquear a conta de marketing usada, encerrar as sessões abertas, trocar as senhas de todos os acessos e exigir verificação em duas etapas.
Por que agora: é a única forma de parar os novos artigos.
O que é: tirar as 4 cópias completas (≈ 4 GB) da área pública do servidor.
Por que agora: elas contêm o banco de dados inteiro, com dados de pessoas, e hoje qualquer um com o endereço baixa.
O que é: restaurar a versão da home e da página em inglês anteriores à invasão (24/09, 05h33).
Por que agora: é a vitrine do Instituto, a primeira coisa que visitantes e Google leem.
Depois de conter o invasor, é preciso desfazer o estrago e fechar as brechas.
Além dos 12 na lixeira, do rascunho e das mais de 300 versões salvas. As páginas apagadas devem avisar o Google que sumiram de vez.
12 dos 26 plugins estão desatualizados e a base pública de vulnerabilidades lista 145 falhas conhecidas nas versões instaladas, algumas graves, como permitir que um estranho assuma o controle do servidor. A atualização é feita com backup antes.
Um dos plugins (Happy Addons) foi adulterado para burlar a licença e nunca recebeu atualização. Está parado numa versão com 44 falhas. A adulteração é de 2023, anterior a esta invasão. Será trocado por uma alternativa legal.
Desligar acessos antigos desnecessários, esconder a lista de usuários do site e limitar tentativas de login.
Recuperar a reputação e reforçar a base técnica.
Enviar o novo mapa do site, acompanhar o Search Console e pedir revisão se houver aviso de "conteúdo hackeado".
A versão em uso parou de receber correções de segurança em novembro de 2022. A troca exige testes para nada quebrar.
Existem dois registros de autenticação onde só pode haver um. Isso faz mensagens do Instituto caírem no spam e facilita falsificação.
Ativar proteções que o navegador aplica, mas que o site hoje não pede, e parar de divulgar a versão do sistema.
São 4 pacotes de widgets que fazem coisas parecidas, 2 otimizadores de imagem e 2 plugins de código. Cada um é uma porta a mais. Também é preciso comprovar a licença dos pagos.
O que impede que isso aconteça de novo.
Se algo der errado, o Instituto volta ao ar em minutos, com uma cópia que o invasor não alcança.
Aviso imediato se uma página mudar, se surgir usuário novo ou se artigos forem publicados fora do normal.
Atualizações em dia e revisão de quem tem acesso. Boa parte desta invasão veio de manutenção atrasada.
Desativar contas sem uso e confirmar quem é cada uma, em especial duas contas administrativas.
O que está em boa forma
Conferimos o sistema arquivo por arquivo contra os originais. Estes pontos reduzem o risco e tornam a correção mais simples.
Atenção: isso reduz o risco, mas não o elimina. 7 plugins pagos não puderam ser comparados com o original, e os registros de acesso do servidor não foram analisados.
Cada problema, explicado
Clique em cada item. A gravidade vem na etiqueta.
A conta usada pelo marketing foi acessada por um estranho que já sabia a senha. Ela não tinha verificação em duas etapas.
Com esse acesso, o invasor publica artigos e edita páginas como se fosse a equipe. Entrou dezenas de vezes por mais de 40 endereços diferentes.
Bloquear a conta, encerrar sessões, trocar a senha e exigir duas etapas para todos.
Um bloco com links de cassino foi colocado dentro da home, posicionado fora da tela. Quem visita não vê, mas o Google lê.
Usa a boa reputação do Instituto para promover sites de apostas. O Google pode punir o site inteiro por isso.
Restaurar a versão anterior a 24/09 e revisar as demais páginas.
Artigos criados em massa, em muitos idiomas, com links para sites de apostas. Ficam listados no mapa do site que o Google lê.
Dilui o conteúdo real do Instituto, prejudica o ranking e associa a marca a jogos de azar.
Apagar tudo, avisar o Google que as páginas foram removidas e acompanhar a recuperação.
Quatro arquivos de backup (≈ 4 GB) ficaram numa pasta acessível pela internet. Cada um tem o site inteiro e o banco de dados.
Qualquer pessoa que descobrisse o endereço poderia baixar nomes, e-mails e outros dados cadastrados. Não há registro de que isso tenha ocorrido, mas também não há como excluir.
Tirar os arquivos do acesso público e guardar backups em local protegido, fora do servidor.
Plugins são "acessórios" do site. 12 de 26 estão atrasados, e a base pública de vulnerabilidades registra 145 falhas nas versões instaladas.
Falhas conhecidas são o caminho favorito de ataques automáticos. Algumas permitem tomar o controle do site sem precisar de senha.
Atualizar com backup prévio, testar o site e remover o que não for necessário.
Um plugin foi alterado para parecer licenciado e para esconder avisos de atualização. A alteração é de 2023.
Ele nunca é atualizado e acumulou 44 falhas. Pacotes adulterados também são um meio comum de esconder código malicioso, embora não tenhamos achado nenhum neste caso.
Substituir por uma versão original ou por uma alternativa, e regularizar as licenças dos plugins pagos.
O PHP (a tecnologia que faz o site funcionar) está numa versão sem correções desde novembro de 2022. O WordPress também está atrás de uma versão bem mais nova.
Falhas descobertas depois dessa data não têm correção. É como dirigir um carro cujo fabricante parou de fazer recall.
Migrar para uma versão atual e testar o site antes e depois.
Mais de 1.700 tentativas falhas de login desde 1º de setembro. O site também revela os nomes de usuário e mantém um acesso antigo que facilita tentativas em massa.
Quanto mais fácil é testar senhas, mais cedo um estranho acerta alguma. Foi o que aconteceu com a conta de marketing.
Esconder a lista de usuários, desligar o acesso antigo e limitar tentativas.
Só a conta administradora principal tem verificação em duas etapas. As outras duas, entre elas a invadida, não têm.
Uma senha vazada basta para entrar. Com duas etapas, o invasor não passaria.
Exigir duas etapas de todos e desativar contas que não são usadas.
O domínio tem dois registros de autenticação de e-mail (SPF) onde só pode haver um, o que os invalida. A política de proteção também não gera relatórios.
E-mails do Instituto podem ir para o spam ou ser falsificados por golpistas.
Unificar os registros, ativar relatórios e restringir quem pode emitir certificados do domínio.
O site não ativa recursos de segurança que os navegadores oferecem e deixa à vista a versão do sistema que usa.
Facilita ataques que dependem de enganar o navegador e ajuda invasores a escolher a falha certa.
Configurar cabeçalhos de segurança e esconder a versão.
26 plugins ativos, vários com a mesma função: 4 pacotes de widgets, 2 otimizadores de imagem, 2 plugins de código e 2 de redirecionamento.
Cada plugin é uma porta a mais para invasores e um item a mais para manter atualizado.
Mapear o que as páginas realmente usam e remover o resto.
Outros dois sites do Instituto dividem a mesma conta de hospedagem. Conferimos um deles, e está limpo. O outro não respondeu e parece abandonado.
Se um deles fosse invadido por dentro, os outros poderiam ser afetados.
Remover o que não é usado e manter os demais atualizados.
Pastas e arquivos deixados por ferramentas já removidas, de 2023, e arquivos de exemplo do WordPress.
Nada diretamente, mas bagunça dificulta enxergar o que é suspeito.
Apagar o que não é usado.
Os acessórios do site
Comparamos cada plugin gratuito com o pacote oficial. Os pagos não têm como ser comparados, então avaliamos o estado da licença.
| Plugin | Para que serve | Situação | Falhas conhecidas |
|---|---|---|---|
| Elementor | Editor visual que monta as páginas do site | Original | 4 |
| Elementor Pro | Recursos avançados do editor: formulários, popups, modelos | Pago · confirmar licença | 3 |
| ElementsKit Lite | Pacote extra de elementos visuais e menus | Original | 13 |
| Happy Addons | Outro pacote de elementos visuais | Pirata | 44 |
| Premium Addons | Mais um pacote de elementos visuais | Original | 13 |
| Premium Addons Pro | Versão paga do anterior | Pago · licença válida | 6 |
| JetElements | Elementos visuais (Crocoblock) | Pago · licença ativa | 18 |
| JetTabs | Abas e sanfonas nas páginas | Pago · licença ativa | 8 |
| Skyboot Custom Icons | Ícones personalizados no editor | Original | 0 |
| Polylang Pro | Site em português e inglês | Pago · licença válida | 6 |
| Connect Polylang-Elementor | Liga o tradutor ao editor | Original | 0 |
| Yoast SEO | Otimização para buscas e mapa do site | Original | 4 |
| Hotjar | Mostra como os visitantes usam o site | Original | 0 |
| Header Footer Code Manager | Insere códigos de terceiros no site (hoje, o Google Tag Manager) | Original | 0 |
| WPCode | Pequenos trechos de código personalizados | Original | 2 |
| Redirection | Leva endereços antigos para os novos | Original | 0 |
| Quick Page/Post Redirect | Outro redirecionador, sem uso aparente | Original | 0 |
| LiteSpeed Cache | Deixa o site mais rápido | Original | 5 |
| Robin Image Optimizer | Diminui o peso das imagens | Original | 0 |
| Image Optimization | Também diminui o peso das imagens (repetido) | Original | 3 |
| Classic Editor | Mantém o editor de textos antigo | Original | 0 |
| Duplicate Page | Copia páginas | Original | 0 |
| All-in-One WP Migration | Faz backup e mudança de servidor. Gerou as cópias abertas | Original | 5 |
| AIOWM Unlimited Extension | Permite backups grandes | Pago · confirmar licença | 2 |
| iThemes Security Pro | Firewall, bloqueio de atacantes e duas etapas | Pago · sem licença registrada | 0 |
| WP Security Audit Log | Registra quem fez o quê no site. Foi o que permitiu esta auditoria | Original | 9 |
"Original" significa idêntico ao pacote oficial, o que não quer dizer atualizado ou seguro. A contagem de falhas vem de uma base pública de vulnerabilidades e vale para a versão instalada.
Honestidade sobre os limites
Uma auditoria séria diz o que não conseguiu verificar.
Três decisões, na ordem.
Expulsar o invasor, fechar as cópias abertas e limpar a home. É a parte que não pode esperar.
Apagar o spam, atualizar tudo, retirar o plugin pirata e blindar o site, com relatório ao final.
Backup fora do servidor, monitoramento e manutenção mensal, para isso não se repetir.