Um novo tipo de malware vem sendo utilizado para redirecionar visitantes de sites WordPress, explorando um método pouco convencional: o uso malicioso do Google Tag Manager (GTM). A descoberta, feita por analistas da Sucuri, revela uma tendência preocupante na evolução de ataques cibernéticos: o uso de ferramentas legítimas como vetores de infecção invisíveis.
Como o ataque acontece
Ao contrário das ameaças tradicionais que se escondem em arquivos do WordPress ou plugins, esse ataque insere um container do GTM diretamente no banco de dados do site. Esse container contém um script JavaScript que se conecta a um servidor externo controlado por atacantes.
Após um breve atraso — geralmente entre 4 e 5 segundos — o script executa um redirecionamento automático do visitante para um domínio malicioso. Em casos investigados, os visitantes eram levados a páginas de spam e conteúdos suspeitos, como o domínio spelletjes.nl.
Técnica furtiva
Uma das características mais perigosas dessa campanha é sua discrição. O malware evita acionar o redirecionamento quando detecta bots conhecidos, como o Googlebot, Bingbot ou serviços de verificação automatizada. Isso dificulta sua detecção por mecanismos de busca e ferramentas de segurança que analisam o comportamento de sites.
Além disso, por estar incorporado em uma ferramenta legítima como o GTM, o código não gera alertas imediatos e não está presente nos arquivos principais do site, dificultando ainda mais sua identificação e remoção.
Escopo do ataque
Durante a investigação, foram encontrados mais de 200 sites comprometidos com o mesmo ID de container GTM (GTM-PL2J2GLH), o que indica uma campanha coordenada de larga escala. Todos os sites afetados apresentavam o mesmo comportamento de redirecionamento e compartilhavam padrões semelhantes de injeção de código.
Embora o vetor de ataque inicial não tenha sido confirmado, é provável que os invasores tenham explorado falhas de segurança em plugins ou obtido acesso por meio de credenciais comprometidas de administradores WordPress.
Impactos para o site e para a reputação
Esse tipo de infecção pode gerar danos significativos à reputação e ao desempenho de um site:
- Perda de confiança do usuário, que é levado a páginas estranhas ou de spam.
- Queda nas métricas de tráfego legítimo, pois usuários abandonam o site após o redirecionamento.
- Danos à reputação em mecanismos de busca, já que o domínio pode ser marcado como malicioso após denúncias manuais.
- Riscos legais, caso usuários sejam expostos a golpes ou conteúdos indevidos.
Como identificar e remover o malware
A remoção exige uma análise cuidadosa e envolve as seguintes etapas:
- Acessar o banco de dados do WordPress para localizar e remover entradas com o ID malicioso do GTM.
- Verificar todos os plugins e usuários administradores, em busca de invasores que possam ter implantado ou facilitado a injeção.
- Alterar todas as credenciais de acesso, incluindo painel WordPress, FTP e banco de dados.
- Ativar autenticação em dois fatores (2FA) para todas as contas administrativas.
- Implementar um firewall (WAF) para barrar novas tentativas de injeção ou chamadas ao servidor malicioso.
Prevenção e boas práticas
Para reduzir o risco de infecções semelhantes, administradores devem:
- Manter o WordPress, plugins e temas sempre atualizados.
- Evitar o uso de plugins desnecessários ou abandonados.
- Monitorar alterações em arquivos e no banco de dados, utilizando ferramentas de segurança com detecção de anomalias.
- Auditar os containers do GTM regularmente, garantindo que apenas códigos confiáveis estejam em execução.
- Realizar varreduras de segurança programadas e manter backups atualizados.
Considerações finais
Este caso reforça a importância de considerar todos os vetores possíveis de ataque, inclusive aqueles que passam despercebidos por estarem associados a ferramentas legítimas. O uso do Google Tag Manager como veículo para malware é um alerta claro de que a sofisticação dos atacantes continua a evoluir.
Empresas que dependem do WordPress devem ir além das medidas básicas e adotar uma abordagem proativa e abrangente de segurança digital.