Como proteger o acesso da sua revenda com senha, 2FA e tokens de API

Este artigo é para revendedores que encontraram o mesmo arquivo malicioso em várias contas ao mesmo tempo, receberam aviso de troca de senha que não pediram ou querem reforçar a segurança antes que isso aconteça.

Por que várias contas são afetadas ao mesmo tempo

Cada conta da revenda é isolada das outras no servidor. Um site invadido não consegue gravar arquivos dentro das outras contas.

Quando o mesmo arquivo aparece em muitas contas no mesmo intervalo de tempo, a análise da equipe costuma encontrar o mesmo caminho: alguém entrou no WHM da revenda (pelo login ou pela API, com um token) e, a partir dele, abriu o painel de cada conta e enviou os arquivos. Por isso a proteção mais importante é a do acesso de revendedor.

O que fazer agora

1. Troque a senha da revenda

Troque a senha do WHM pela Área do Cliente da ValueHost, no serviço da revenda. Use uma senha longa, exclusiva e que nunca tenha sido usada antes.

2. Ative a autenticação em dois fatores (2FA)

• cPanel/WHM: ative o 2FA no WHM da revenda e peça aos seus clientes que ativem no cPanel deles (menu de segurança, Autenticação de dois fatores).
• DirectAdmin: troque a senha do usuário revendedor e ative o 2FA no próprio painel.

3. Revise os tokens de API

1. No WHM, abra Gerenciar tokens de API (Manage API Tokens).
2. Apague todo token que você não reconhece ou que não é mais usado.
3. Para o token que continua necessário (por exemplo, o do seu WHMCS), deixe só as permissões que ele precisa e, se possível, restrinja o uso ao IP do servidor onde o WHMCS está.

4. Verifique quem tem acesso

Confira quais computadores, colaboradores e sistemas usam o login da revenda. Faça uma verificação de vírus nas máquinas que acessam o WHM, porque senhas costumam vazar a partir delas.

5. Limpe os sites afetados

Depois de fechar o acesso, os arquivos maliciosos ainda precisam ser removidos e os sites corrigidos. Restaurar um backup sem corrigir a causa faz o problema voltar. Siga as orientações de limpeza de WordPress da base de conhecimento ou peça análise à equipe.

A equipe pode investigar

Se você suspeita de acesso indevido, abra um ticket. A equipe consegue cruzar os registros do servidor (logins no WHM, sessões de cPanel abertas pela revenda, chamadas de API e gravação de arquivos) e informar de qual IP e em que horário as alterações foram feitas.

Se não resolver

Abra um ticket no Suporte Técnico informando:

• o domínio principal da revenda;
• os domínios ou usuários afetados;
• o nome e o caminho de um arquivo suspeito encontrado e a data em que ele apareceu;
• os IPs que você e sua equipe usam para acessar o WHM, para separar acessos legítimos.

Não envie senhas no ticket.