TL;DR: Resumo dos ataques client-side do T1 2025
- Não é só um problema do WordPress: A indústria continua a enquadrar o T1 de 2025 como um problema de plugins do WordPress, mas quase 300.000 sites comprometidos, quatro backdoors provenientes de uma única CDN e sequestros de página inteira mostram que o front-end é agora o principal campo de batalha, não o perímetro.
- 300.000 sinais de ataque: Falsas atualizações de navegador distribuíram o AMOS Stealer no macOS e o SocGholish no Windows na mesma campanha de março; a monitorização ao nível do navegador da cside detetou 300.000 sinais de ataque em sites monitorizados, sem consultas a feeds de ameaças nem sessões amostradas.
- Ameaça de primeira linha ou higiene? Antes de aprovar os exercícios de simulação (tabletop) do T2, decida se os sequestros de iframe, o envenenamento de SEO em domínios .edu/.gov e os backdoors alojados em CDNs são tratados como ameaças de primeira linha no seu playbook de resposta a incidentes, ou apenas como higiene do WordPress.
Sem tempo? Veja o bloqueio in-browser de Magecart e skimmers da cside. Cobre tudo o que se segue numa única implementação.
Autoria: Equipa de Investigação de Ameaças da cside
Resumo Executivo
O T1 de 2025 foi marcado por uma escalada acentuada nos ataques client-side dirigidos a websites de múltiplos setores, com particular incidência em plataformas baseadas em WordPress. A investigação da cside revelou quase 300.000 websites comprometidos. Os atacantes recorrem cada vez mais a mecanismos de distribuição baseados em JavaScript, a vulnerabilidades na cadeia de fornecimento de terceiros e a táticas de engenharia social enganosas, como falsas atualizações de navegador.
Para CISOs, líderes de risco digital e outros responsáveis pela segurança, este relatório descreve as campanhas mais críticas detetadas neste trimestre, com detalhe técnico e uma perspetiva estratégica para apoiar a tomada de decisões proativa.
Principal Perceção para Executivos: As ameaças cibernéticas modernas exploram agora interações baseadas no navegador e a confiança dos utilizadores em plataformas CMS comuns. Defender-se delas exige visibilidade sobre os comportamentos em tempo de execução, uma governação rigorosa dos scripts e uma inteligência de ameaças coordenada. Os ataques client-side dirigidos a plataformas de criptomoedas e a ambientes de pagamento também representam riscos desproporcionados, apesar de corresponderem a um volume menor do total de incidentes.
Principais Campanhas Client-Side
1. Sequestros de Página Inteira a Redirecionar para Sites de Apostas Chineses
- Detetado: Janeiro de 2025
- Websites Afetados: 150.000+
- Causa Raiz: JavaScript injetado através de um plugin sequestrado ou de uma CDN de ativos.
- Infraestrutura do Ataque: Domínios como zuizhongyj[.]com e os respetivos subdomínios foram responsáveis pela injeção de iframes que tomavam conta de todo o viewport.
- Características Notáveis: redirecionamento condicional consoante a região e o navegador, ofuscação de scripts e URLs construídos dinamicamente, e um forte foco em dispositivos móveis, com cliques direcionados a Android.
- Risco Estratégico: perda significativa de confiança e penalizações de SEO; vários sites foram colocados na lista negra do Google.
- Saiba mais: over-150k-websites-hit-by-full-page-hijack-linking-to-chinese-gambling-sites
2. Comprometimento da Cadeia de Fornecimento JavaScript (4 Backdoors Incorporados)
- Detetado: Janeiro de 2025
- Websites Afetados: 5.000+
- Origem do Payload: cdn.csyndication[.]com (anteriormente um fornecedor de alojamento de ativos considerado fiável).
- Ações Maliciosas Incorporadas: instalação de plugins para acesso persistente, infeção do wp-config.php, injeção de chaves SSH através de tarefas agendadas e comunicação de reverse shell com gsocket[.]io.
- Objetivos do Adversário: manter controlo a longo prazo, recolher credenciais e mover-se lateralmente em ambientes de alojamento partilhado.
- Saiba mais: thousands-of-websites-hit-by-four-backdoors-in-3rd-party-javascript-attack
3. Golpe de Apostas Chinesas Kaiyun - Campanha Variante
- Detetado: Fevereiro de 2025
- Websites Afetados: 35.000+
- Táticas: imitação de anúncios de jogos legítimos através de sobreposições em ecrã inteiro e utilização de variantes linguísticas segmentadas por geografia.
- Observações Principais: reutilização de domínios (mlbetjs[.]com, zuizhongjs[.]com) e definição de perfis de IP e navegador para evitar a deteção.
- Resultado: confusão de marca e desvio de conversões nos websites comerciais afetados.
- Saiba mais: over-35-000-websites-targeted-in-full-page-hijack-linking-to-a-chinese-language-gambling-scam
4. Campanha de Falsa Atualização de Navegador com Malware Multiplataforma
- Detetado: Março de 2025
- Websites Afetados: 10.000+
- Mecanismo: JavaScript carregado através de um iframe apresentava um modal falso de atualização para Chrome/Firefox.
- Payloads Distribuídos: AMOS Stealer (macOS), que capturava dados do iCloud Keychain, do navegador e de ficheiros; e SocGholish (Windows), que utilizava WMI e PowerShell para persistência.
- Preocupação de Conformidade: os sites utilizados para distribuição podem enfrentar exposição regulatória (GDPR, CCPA).
- Saiba mais: 10-000-wordpress-websites-found-delivering-macos-and-microsoft-malware
5. Envenenamento de SEO via ScriptAPI em Sites Académicos e Governamentais
- Detetado: Janeiro de 2025
- Websites Afetados: ~1.000
- Perfil do Alvo: domínios .edu e .gov que utilizam pacotes JS desatualizados
- Comportamento do Ataque: injeções ocultas no DOM para construção de links de SEO; redirecionamentos camuflados para conteúdo de apostas e adulto
- Impacto no Negócio: despromoção algorítmica nos SERPs e abuso da confiança académica/governamental para envenenamento de backlinks.
- Saiba mais: government-and-university-websites-targeted-in-scriptapi-dev-client-side-attack
6. Campanha WP3.XYZ - Criação Automatizada de Backdoors no WordPress
- Detetado: Janeiro de 2025
- Websites Afetados: 5.000+
- Vetor Inicial: script JS de wp3[.]xyz incluído em temas/plugins comprometidos
- Principais Descobertas: criação silenciosa de uma conta wpx_admin, implementação de plugins para modificar os fluxos de início de sessão e exfiltração de credenciais e tokens.
- Remediação: exige rotação das credenciais de administrador, limpeza de malware e verificação de plugins.
- Saiba mais: over-5k-wordpress-sites-caught-in-wp3xyz-malware-attack
Recomendações Estratégicas para Executivos e CISOs
- Governação de Risco Client-Side: exija revisões pré-implementação e monitorização pós-implementação de todos os ativos JavaScript de terceiros.
- Capacidades de Deteção em Tempo de Execução: invista na monitorização comportamental de páginas web para detetar ameaças como iframing, roubo de credenciais ou cadeias de redirecionamento.
- CMS Web como Alvo de Alto Valor: o WordPress, apesar de amplamente utilizado, exige uma atenção de nível empresarial, com aplicação automatizada de patches e verificação de plugins.
- Zero Trust para Distribuição de Conteúdo: aplique os princípios de Zero Trust aos scripts JS. Presuma o comprometimento e registe todas as interações.
- Playbooks de Resposta e Simulações: crie exercícios de simulação (tabletop) para ataques à cadeia de fornecimento, injeção client-side e comprometimento de credenciais, com base em cenários reais.
Visão Geral das Métricas-Chave
Número de Websites Afetados por Tipo de Ataque
Tendências Estratégicas Observadas no T1 2025
Durante o T1 de 2025, emergiram vários padrões estratégicos importantes na atividade de ataques client-side:
1. Ascensão das Ameaças Multiplataforma
- Os ataques já não visam apenas utilizadores de Windows; campanhas de malware (por exemplo, o AMOS Stealer) expandiram-se agressivamente também para ecossistemas macOS.
2. Abuso de Cadeias de Fornecimento Fiáveis
- O comprometimento do cdn.csyndication[.]com demonstra que os atacantes visam cada vez mais fornecedores terceiros de boa reputação para maximizar o impacto em escala.
- Os ataques à cadeia de fornecimento estendem-se agora para além do software, atingindo infraestruturas de distribuição de ativos (JavaScript/CDNs).
3. Maior Sofisticação nas Técnicas de Evasão
- Uso generalizado de geofencing de IP, fingerprinting de navegador e priorização de dispositivos móveis para evitar deteções automatizadas e aumentar a precisão na segmentação de utilizadores.
4. Proliferação do Envenenamento de SEO
- Os ataques abusam cada vez mais de domínios de alta autoridade (por exemplo, .edu, .gov) para o envenenamento de motores de busca, visando a monetização indireta em vez da exploração direta.
5. O WordPress Continua a Ser a Principal Superfície de Ataque
Apesar de anos de consciencialização, os plugins/temas do WordPress sem patches continuam a ser o principal ponto de entrada para comprometimentos em larga escala.
Impacto na Conformidade e Regulação
Os comprometimentos client-side, especialmente os que distribuem malware ou fazem uso indevido de informações pessoais, geram sérios riscos de conformidade.
1. Regulamento Geral sobre a Proteção de Dados (GDPR)
- Redirecionamentos com malware ou websites comprometidos podem ser interpretados como uma violação das obrigações de segurança de dados previstas no Artigo 32.º do GDPR.
- Multas potenciais até 20 milhões de euros ou 4% do volume de negócios global, consoante o que for mais elevado.
2. Risco PCI-DSS: Comprometimentos de Pagamento Client-Side
Ataques de skimming client-side, como o Magecart e o Formjacking, geram violações diretas dos requisitos do PCI-DSS v4.0. As organizações que processam dados de titulares de cartões devem proteger os scripts client-side para evitar a interceção não autorizada. Uma violação deste ambiente pode resultar em:
- Divulgação obrigatória nos termos das diretrizes PCI
- Multas pesadas
- Danos à marca e à confiança dos clientes
Dada a prevalência de ataques baseados em JavaScript, proteger o ambiente do lado do navegador é agora essencial para a conformidade com o PCI.
3. Lei de Privacidade do Consumidor da Califórnia (CCPA)
- Os websites que distribuam involuntariamente malware ou phishing podem enfrentar ações judiciais de direito privado de ação e penalidades regulatórias ao abrigo da CCPA.
4. Reputação da Marca e Exposição Legal
- As organizações que não protegem os seus ativos client-side arriscam-se a ações judiciais de clientes, perda de reputação e exclusão de plataformas de publicidade e motores de busca (Google, Microsoft).
Previsão de Riscos para o T2 2025
Com base nas tendências de ataque observadas no T1, a cside prevê os seguintes desenvolvimentos para o T2:
Recomendações Estratégicas para Executivos e CISOs
As organizações têm de evoluir das defesas de perímetro tradicionais para a monitorização de segurança do navegador em tempo real. Eis as recomendações práticas da cside:
1. Governação de Risco Client-Side
- Estabeleça políticas formais para a revisão pré-implementação e a monitorização contínua de todos os ativos JavaScript de terceiros.
- Mantenha um inventário de scripts aprovados, com controlo de versões e verificações de integridade.
2. Capacidades de Deteção em Tempo de Execução
- Implemente uma monitorização comportamental da atividade em tempo real do website: deteção de injeções de iframe, monitorização de eventos de manipulação do DOM e sinalização de ligações de saída não autorizadas.
- As soluções devem alertar sobre comportamentos suspeitos antes de os utilizadores serem afetados.
3. Zero Trust para Conteúdo de Terceiros
- Trate todo o conteúdo externo como não fiável por defeito: aplique cabeçalhos CSP (Content Security Policy) para restringir o carregamento de ativos não aprovados e utilize Subresource Integrity (SRI) para verificar a integridade dos scripts.
4. Postura de Segurança Reforçada para o WordPress
- Exija a aplicação automatizada de patches para todos os plugins e atualizações do núcleo do WordPress.
- Imponha a utilização exclusiva de plugins e temas verificados e de alta qualidade.
- Monitorize a criação de contas administrativas para deteção de anomalias.
5. Prepare e Teste Playbooks de Resposta a Incidentes
- Realize exercícios de simulação (tabletop) regulares, centrados no comprometimento de scripts client-side, em cenários de violação da cadeia de fornecimento e na limpeza de envenenamento de SEO.
- Inclua fluxos de comunicação para uma divulgação rápida às entidades reguladoras, sempre que necessário (GDPR, CCPA).
Considerações Finais
O panorama de ameaças no início de 2025 mostra que os atacantes já não precisam de violar infraestruturas: basta comprometerem um script. O front-end é o novo campo de batalha. As organizações têm de evoluir para além das defesas do lado do servidor e adotar estratégias de segurança client-side proativas e em tempo real. Os defensores devem reconhecer que mesmo as ameaças de baixa frequência, como comprometimentos de ativos cripto e skimming de cartões, têm potencial para um impacto desproporcionado. As estratégias de defesa devem dar prioridade tanto a cenários baseados em volume como a ataques de alto valor e baixa frequência.
A cside continua a monitorizar e a publicar ameaças emergentes para capacitar os defensores e proteger a confiança digital.
