Backdoor em plugin WordPress: como ele mantém o invasor dentro do site

Backdoor em plugin WordPress: como ele mantém o invasor dentro do site

Backdoor é uma porta escondida deixada pelo invasor para voltar ao site depois. No WordPress, um backdoor pode estar dentro de um plugin, tema, uploads, banco de dados ou arquivo com nome aparentemente normal.

É por isso que muitos sites “limpos” voltam a ser infectados dias depois.

Como um backdoor aparece?

Ele pode ser instalado depois da exploração de uma vulnerabilidade, por senha vazada, plugin comprometido, tema pirata, upload inseguro ou acesso ao painel administrativo.

Alguns backdoors são simples. Outros usam ofuscação, chamadas remotas, nomes parecidos com arquivos legítimos e verificações para esconder o comportamento do administrador.

Sinais de backdoor

• arquivos PHP com nomes estranhos;
• código ofuscado com eval, base64_decode ou strings ilegíveis;
• arquivos modificados depois da limpeza;
• usuários administradores reaparecendo;
• redirecionamentos que voltam;
• scripts externos desconhecidos;
• plugins falsos ou sem tela no painel.

Trocar senha resolve?

Trocar senha é necessário, mas não suficiente. Se o backdoor continua nos arquivos ou no banco, o invasor pode voltar sem precisar da senha antiga.

Onde procurar?

Além dos plugins ativos, é importante revisar plugins inativos, temas antigos, uploads, wp-config.php, .htaccess, mu-plugins, arquivos da raiz e entradas suspeitas no banco de dados.

Ajuda técnica

Uma limpeza eficaz não remove apenas o sintoma visível. Ela procura a porta de retorno. A PREMA WordPress Security analisa arquivos e banco para encontrar malware, backdoors e alterações suspeitas. Solicite em prema-it.com.