Uma campanha sofisticada de ataque à cadeia de suprimentos (supply chain) targeting o ecossistema de plugins da BdThemes para WordPress foi descoberta, expondo administradores de sites a roubo de credenciais, implantação de webshells e backdoors persistentes. A Wordfence Threat Intelligence notificou o incidente em 7 de agosto de 2026, após identificar que atacantes haviam envenenado um feed de API promocional remoto utilizado por diversos plugins populares da empresa.
O vetor de ataque: API comprometida e XSS
Diferentemente de ataques tradicionais que modificam o código-fonte dos plugins no repositório oficial do WordPress.org, esta campanha explorou uma vulnerabilidade na lógica de consumo de dados externos. Os plugins afetados incluem Element Pack Addons for Elementor, Prime Slider Addons for Elementor, Pixel Gallery Addons for Elementor, Ultimate Post Kit, Ultimate Store Kit, Live Copy Paste e Smart Admin Assistant.
A investigação revelou que os plugins utilizam um componente interno chamado Biggopti para recuperar banners promocionais de uma API remota hospedada em um bucket DigitalOcean Spaces protegido pela Cloudflare. Pesquisadores identificaram que o Biggopti falhou ao escapar corretamente o valor display_id da resposta JSON antes de inseri-lo em um atributo HTML. Isso criou uma vulnerabilidade de Cross-Site Scripting (XSS) com pontuação CVSS de 5.4.
Quando um administrador logado acessava qualquer página do painel wp-admin, a resposta corrompida disparava JavaScript malicioso diretamente no navegador do administrador. O payload utilizava um manipulador de evento oculto onanimationstart, permitindo execução silenciosa em milissegundos.
Mecânica de persistência e roubo de acesso
O script malicioso primário, identificado como w2.js, contatava primeiro um servidor de comando e controle (C2) em ia-cdn[.]com/fz/c para validar se a vítima deveria ser alvo. Se aprovado, o malware utilizava o nonce ativo do administrador do WordPress para criar uma conta administrativa fraudulenta.
Além disso, o malware instalava um plugin falso, frequentemente com nomes inofensivos como wp-smart-thumbnails. Esse plugin continha um webshell chamado emer-run.php, permitindo que atacantes executassem comandos remotamente. O webshell então instalava plugins maliciosos do tipo Must-Use para garantir persistência. Um componente específico criava um backdoor de magic-login, permitindo acesso administrativo não autenticado através de parâmetros especiais na URL.
Outra técnica observada envolvia a manipulação de consultas ao banco de dados do WordPress para ocultar contas administradoras criadas pelos atacantes da lista normal de usuários. O malware também alterava totais de usuários para dificultar a detecção. Um segundo payload, x.js, gerava credenciais administrativas previsíveis baseadas no hostname do site da vítima.
Indicadores de Comprometimento (IoCs)
Os administradores devem monitorar os seguintes indicadores de comprometimento identificados pela Wordfence:
- Domínios C2:
ia-cdn[.]com - Arquivos Maliciosos:
emer-run.php,w2.js,x.js - Nomes de Plugin Falsos:
wp-smart-thumbnails(e variações similares) - Opções de Banco de Dados:
fz_emer_login_tokens - Arquivos Suspeitos: Arquivos com prefixo
class-wp-query-em diretórios suspeitos
Recomendações para CISOs e Administradores
Embora os endpoints da API comprometida tenham sido limpos em 8 de agosto, a campanha pode ter iniciado tão cedo quanto 23 de junho de 2026. As organizações devem realizar as seguintes ações imediatamente:
- Auditoria de Contas: Revisar todas as contas administradoras do WordPress, removendo qualquer usuário suspeito ou criado recentemente sem aprovação.
- Verificação de Plugins: Inspecionar o diretório de plugins instalados e o diretório de plugins Must-Use em busca de arquivos maliciosos.
- Busca de IOCs: Procurar especificamente por
emer-run.php, arquivosclass-wp-query-*e a opção de banco de dadosfz_emer_login_tokens. - Rotação de Credenciais: Forçar a troca de senhas de todos os administradores e revogar tokens de API antigos.
Implicações para Segurança Corporativa
Este incidente destaca como um feed de dados remoto confiável pode se tornar um canal eficaz de entrega de malware, mesmo quando os arquivos locais do plugin permanecem inalterados. Para equipes de segurança, isso reforça a necessidade de monitoramento contínuo de integridade de aplicações web e validação rigorosa de respostas de APIs externas consumidas por sistemas legítimos.