Revenda com vários sites infectados: como proteger o WHM

Este artigo é para revendedores que encontraram o mesmo código malicioso em vários sites da revenda ao mesmo tempo, receberam aviso de troca de senha que não pediram ou suspeitam que alguém está usando o acesso da revenda.

O que a equipe tem encontrado

Nos casos de infecção em massa analisados recentemente, os registros mostraram acessos autenticados ao WHM ou à API do WHM com o usuário ou um token da própria revenda. Com esse acesso, o invasor consegue abrir os cPanels das contas e gravar arquivos em todas elas, sem precisar invadir o servidor.

Por isso, limpar os sites não basta: é preciso fechar o acesso da revenda.

O que fazer agora

1. Troque a senha do WHM. Você pode gerar uma nova senha pela área do cliente, nos detalhes do serviço de revenda.
2. Ative a autenticação em dois fatores no WHM e, se possível, nos cPanels das contas (veja "Autenticação em dois fatores no painel: como ativar e o que fazer se perder o acesso").
3. Revise os tokens de API. No WHM, abra o gerenciamento de tokens de API e remova todos os que não são estritamente necessários ou que você não reconhece.
4. Encerre sessões que você não reconhece e troque a senha de qualquer pessoa que tenha acesso ao WHM.
5. Revise integrações. Se usa WHMCS ou outro sistema ligado ao WHM, mantenha-o atualizado, troque as credenciais da integração e use um token com apenas as permissões necessárias.
6. Troque as senhas das contas afetadas: cPanel, FTP, bancos de dados e administradores do WordPress de cada site infectado.
7. Verifique os computadores de quem acessa o WHM com antivírus. Senhas salvas em um computador infectado podem ser roubadas.

Peça a varredura da revenda

A equipe pode analisar todas as contas da revenda, remover os arquivos maliciosos encontrados e consultar os registros do WHM para indicar de onde vieram os acessos. No ticket, informe:

• o usuário da revenda;
• as contas ou domínios onde viu a infecção;
• o nome e o caminho dos arquivos suspeitos;
• quando percebeu o problema.

Não exclua contas nem apague os arquivos antes da análise, para não perder as evidências.

Cuidado com arquivos que imitam o Imunify

Em casos recentes, o código malicioso foi gravado em arquivos com nomes parecidos com os do Imunify360 (por exemplo, dentro de wp-content/mu-plugins), para parecer parte da proteção. Se encontrar arquivos assim, não confie no nome: avise a equipe.

Depois da limpeza

Para cada site WordPress, siga também o passo a passo de "Site invadido ou com malware: primeiros passos" (reinstalar o core, atualizar plugins e temas, trocar senhas).

Se não resolver

Se os arquivos maliciosos voltarem depois da troca de senhas e da revisão dos tokens, abra um ticket com o horário em que reapareceram e os caminhos dos arquivos. Não envie senhas nem tokens no ticket.