Descoberta e escopo da ameaça
Um novo framework de malware conhecido como ErrTraffic tem se destacado no cenário de ameaças cibernéticas, operando como um serviço de malware (MaaS) que permite a criminalidade organizada alugar ferramentas para ataques direcionados. Identificado por analistas da Sekoia e reportado pela Cyber Security News, o ErrTraffic utiliza técnicas de engenharia social avançadas, especificamente a tática ClickFix, para enganar usuários e executar comandos maliciosos em seus sistemas.
O framework foi observado pela primeira vez no final de 2025 e evoluiu rapidamente para uma operação completa de MaaS, permitindo que atores maliciosos implantem ataques contra uma ampla gama de alvos. A eficácia do ErrTraffic reside na sua capacidade de se disfarçar como verificações de segurança legítimas, como o reCAPTCHA do Google ou o Cloudflare Turnstile, levando as vítimas a executarem comandos que acreditam ser parte de um processo de verificação padrão.
Vetor de infecção e exploração
O vetor de infecção primário do ErrTraffic envolve a injeção de trechos de JavaScript maliciosos em sites WordPress legítimos, mas comprometidos. Quando um visitante acessa uma dessas páginas infectadas, ele é confrontado com uma tela de verificação falsa que imita serviços de confiança. A vítima é instruída a pressionar um atalho de teclado, o que, na realidade, executa um comando PowerShell que já foi carregado silenciosamente na área de transferência pelo script malicioso de fundo.
Uma vez que o comando é executado, ele baixa e executa o payload final, que pode variar desde infostealers até loaders e ferramentas de acesso remoto. A infraestrutura de comando e controle (C2) do ErrTraffic é particularmente sofisticada, utilizando uma técnica chamada EtherHiding para ocultar seus servidores C2 dentro de contratos inteligentes da blockchain Polygon. Isso torna significativamente mais difícil para as ferramentas de segurança detectar e bloquear o tráfego malicioso, pois a infraestrutura do atacante pode ser rotacionada sem a necessidade de reimplantar o código nos sites infectados.
Infraestrutura e clusters de ataque
Os pesquisadores de segurança identificaram dois clusters distintos do ErrTraffic, nomeados "Analytics" e "Beer", cada um operando com infraestrutura separada e entregando diferentes famílias de malware, incluindo Vidar, Stealc, Remus, Salat, SmokeLoader e várias ferramentas de acesso remoto. A existência de múltiplos clusters aponta para uma competição e sobreposição operacional entre os diversos atores de ameaças que estão aproveitando este framework.
Além dos sites WordPress comprometidos, os atacantes também estão impersonando plataformas de IA legítimas para estender o alcance do ErrTraffic. Sites maliciosos que se passam pelo Google Antigravity e ChatGPT foram usados para entregar o mesmo isco ClickFix, visando usuários que procuram por software de IA. Essas campanhas são acreditadas serem espalhadas via malvertising, permitindo que eles alcancem vítimas inteiramente fora do ecossistema de WordPress comprometido.
Implantação de backdoor e acesso persistente
Além da infecção do lado do cliente, o ErrTraffic também opera no lado do servidor. Após ganhar acesso a um site WordPress através de credenciais de administrador roubadas, os atacantes implantam uma backdoor PHP chamada session-manager.php dentro do diretório mu-plugins. O WordPress carrega automaticamente este diretório sem qualquer ativação manual, garantindo que a backdoor seja executada em todas as requisições.
A implantação coleta credenciais de login interceptando solicitações de autenticação, extrai dados de pedidos do WooCommerce em um ataque estilo Magecart no lado do servidor e fornece um webshell para execução remota de código. Para evitar a detecção, a backdoor monitora as strings User-Agent de entrada em busca de assinaturas de ferramentas como Wordfence e Nikto, pausando todo o comportamento malicioso por trinta minutos quando essas ferramentas são identificadas.
Medidas de mitigação recomendadas
Os defensores devem habilitar o registro de ScriptBlock do PowerShell para capturar comandos decodificados em XOR vinculados ao ErrTraffic. Além disso, é crucial monitorar conexões RPC da blockchain seguidas imediatamente pela execução do PowerShell como indicadores comportamentais de alta confiança. A auditoria regular dos diretórios mu-plugins e a rotação de credenciais do WordPress permanecem como passos protetores de linha de base fortes.
Organizações devem revisar seus logs de acesso para identificar tentativas de acesso não autorizado e garantir que os plugins e temas WordPress estejam atualizados. O uso de soluções de segurança de endpoint que possam detectar a execução de comandos PowerShell não autorizados também é recomendado para mitigar o risco de infecção.
Perguntas frequentes
O que é o ErrTraffic? É um framework de malware-as-a-service que usa iscos de verificação falsos para executar comandos PowerShell.
Como ele se propaga? Através de sites WordPress comprometidos e campanhas de malvertising.
Qual é o impacto? Pode levar à instalação de infostealers, ransomware e acesso remoto não autorizado.