Quando Sites Confiáveis se Tornam Maliciosos: Compromissos em WordPress Impulsionam Operação Global de Stealers

A campanha identificada pela Rapid7 não é um surto isolado, mas o ápice de uma escalada estrutural no uso de WordPress como plataforma de distribuição de infostealers. Desde dezembro de 2025, ela opera com precisão tática: injeta JavaScript falso que imita o CAPTCHA do Cloudflare em sites legítimos, incluindo a página oficial de um candidato ao Senado dos EUA, e só ativa o payload para usuários Windows com browser ativo, ignorando bots, cookies de administração e acessos a wp-admin. O truque é técnico e psicológico: o usuário vê um 'erro de verificação' e é instruído a colar um comando PowerShell na tela. Esse comando não baixa um arquivo, mas carrega shellcode diretamente na memória do svchost.exe via VirtualAllocEx e CreateRemoteThread, contornando AMSI, WLDP e antivírus baseados em assinatura.

O DoubleDonut, loader central da operação, é uma evolução calculada do Donut aberto (MITRE S0695), usado duas vezes seguidas para ofuscar ainda mais o fluxo de execução. Ele entrega três stealers em paralelo: o Vidar v2.0, reescrito em C, com bypass da criptografia AppBound do Chrome por injeção direta na memória; o Impure Stealer, .NET com AES-256-CBC configurável via C2; e o VodkaStealer, C++ específico desta campanha, menos sofisticado, mas intencionalmente ruidoso, grava arquivos temporários em texto simples, sugerindo que seu objetivo é coleta rápida em ambientes com pouca visibilidade de endpoint, não persistência longa.

Isso importa porque os ataques não estão mais esperando usuários clicarem em links suspeitos: agora exploram confiança em infraestrutura legítima. Um site de jornal regional no Brasil ou uma loja local no Canadá, comprometidos via plugin vulnerável ou credencial fraca, viram vetores silenciosos de roubo massivo de senhas, cookies, carteiras de cripto e até tokens 2FA. A falha não está no navegador ou no sistema operacional, está na gestão de acesso, na atualização defensiva e na cegueira sobre o que roda *dentro* do servidor WordPress. O Relatório Global de Ameaças da Rapid7 mostra que 43,9% dos incidentes investigados em 2025 partiram de contas válidas sem MFA. Nesta campanha, o ponto de entrada quase sempre foi um painel wp-admin exposto, sem autenticação forte, e um plugin desatualizado, como os comprometidos em abril de 2026 após venda no Flippa.