Malware ClickFix no WordPress: Como Encontramos e Removemos um Backdoor Oculto

O malware ClickFix é uma das ameaças web que mais cresce em 2026 — e ele apareceu recentemente em um site WordPress que protegemos. Um visitante viu um popup de “verificação” parecido com um CAPTCHA comum, mas que pedia para abrir o PowerShell e colar um comando. Esse detalhe já entrega tudo: nenhum CAPTCHA de verdade pede para você sair do navegador. Neste artigo mostramos exatamente o que encontramos, como o ataque funcionava, como a nossa ferramenta de monitoramento Site Doctor revelou o problema e cada passo que demos para desinfectar o site — com o nome e a URL do site anonimizados.

Resumo rápido — Um injetor camuflado no wp-config.php servia um script hospedado em blockchain (EtherHiding) que montava um falso CAPTCHA “Não sou um robô”. Um segundo backdoor de administrador sem senha permitia que uma botnet voltasse a entrar quando quisesse. O site até tinha um conhecido plugin de segurança instalado — e mesmo assim não bastou. Foi o monitoramento forense do Site Doctor que revelou o comprometimento; então removemos os dois pontos de apoio, verificamos a integridade de todas as instalações do servidor, trocamos todos os segredos e reforçamos o site. Não houve exposição confirmada de dados de clientes, mas o site foi tratado como totalmente comprometido até a limpeza.

O que é ClickFix (o golpe do falso CAPTCHA)?

ClickFix é uma técnica de malware por engenharia social. Em vez de explorar o seu computador diretamente, ele engana você para se infectar sozinho. A página exibe um falso CAPTCHA ou uma caixa de “passos de verificação” e manda você:

1. Apertar Win + X e depois I para abrir o PowerShell (ou o Executar, com Win + R).
2. Apertar Ctrl + V para colar — a página já copiou silenciosamente um comando malicioso para a sua área de transferência.
3. Apertar Enter para executar.

O comando colado baixa e roda um infostealer ou um trojan de acesso remoto que rouba senhas salvas no navegador, cookies de sessão e carteiras de criptomoedas. Como foi você quem digitou, a maioria dos antivírus e proteções do navegador não chega a agir. É isso que torna o malware ClickFix tão eficaz — e tão importante de interceptar na origem: o site comprometido que o serve.

A descoberta: um popup que não deveria existir

O primeiro sinal foi um print: uma caixa de “Passos de Verificação” bem apresentada no site, mandando o visitante rodar comandos no PowerShell. Dois pontos chamaram atenção na hora:

• Nenhum CAPTCHA legítimo (Google reCAPTCHA, Cloudflare Turnstile, hCaptcha) manda você para fora do navegador.
• O popup só aparecia às vezes — sinal clássico de cloaking, quando o malware se esconde de bots, de administradores logados e de visitantes recorrentes para sobreviver mais tempo.

O dono do site não via nada de errado no painel do WordPress, e uma varredura simples no servidor parecia limpa. Esse descompasso — “os usuários veem, as varreduras não” — é a impressão digital de uma injeção web moderna e evasiva.

O que encontramos: EtherHiding + um backdoor sem senha

Com acesso forense somente leitura, encontramos duas peças de malware cooperando que compartilhavam um mesmo marcador de código (um prefixo _ea_), mais um terceiro estágio em tempo de execução:

1. Um injetor camuflado no wp-config.php

Um bloco no início do arquivo de configuração abria um buffer de saída e inseria silenciosamente uma tag <script> em todas as páginas. Um wp-config.php legítimo nunca faz isso — ele é configuração, não saída de conteúdo.

2. Um carregador EtherHiding

O script injetado não continha o código do ataque. Em vez disso, ele buscava o payload na BNB Smart Chain (uma blockchain) por meio de uma leitura de contrato inteligente, e então decodificava e executava esse código. Essa técnica se chama EtherHiding: como o payload vive em uma blockchain, ele não pode ser derrubado no nível de hospedagem ou DNS, e o atacante pode trocá-lo a qualquer momento. Foi esse payload que montou o falso CAPTCHA “Não sou um robô”.

3. Um backdoor de admin sem senha em todos os temas

Anexado ao functions.php de todos os 17 temas instalados, um pequeno trecho de código dava acesso instantâneo de administrador a quem acessasse uma URL especial — sem nenhuma senha. Colocá-lo em todos os temas garantia que ele sobrevivesse a trocas de tema. O atacante ainda ajustou a data de modificação de cada arquivo para bater com a data de lançamento original do tema, de modo que varreduras de “arquivos alterados recentemente” passavam batido.

Como o ataque funcionava, passo a passo

1. O wp-config.php injeta o script carregador em cada visita.
2. O carregador lê o payload em um contrato inteligente na blockchain (EtherHiding).
3. O payload monta o falso CAPTCHA / ClickFix e rastreia cliques por um contador de analytics clandestino.
4. O visitante é instruído a rodar o PowerShell → o malware é instalado na máquina do visitante.
5. Em paralelo, uma botnet usa o backdoor sem senha para logar como admin quando quiser, mantendo o controle do site.

Por que ficou invisível por tanto tempo

Essa campanha foi projetada para derrotar justamente as verificações em que a maioria confia:

• Cloaking: o golpe visível só dispara para navegadores reais sob condições escolhidas pelo atacante, então testes casuais e bots veem uma página limpa.
• Payload em blockchain: não há domínio malicioso nos arquivos do site para sinalizar — o código é buscado de um contrato inteligente em tempo real.
• Datas forjadas (anti-forense): os timestamps foram falsificados, então “o que mudou recentemente?” não retornava nada.
• Nenhum usuário admin novo: o backdoor usava a conta de admin já existente, então alertas de auditoria de usuários ficavam quietos.

Como o Site Doctor descobriu e ajudou a desinfectar

O site não estava desprotegido: um conhecido plugin de segurança para WordPress (Wordfence) já estava instalado. Mas estava inativo — uma falha muito comum no mundo real — e, tão importante quanto, esta família de malware é feita sob medida para escapar de varreduras por assinatura e por data de arquivo mesmo com um plugin desses rodando. Um plugin de segurança sozinho — ainda mais instalado e ocioso — não é uma rede de proteção contra injeções camufladas e evasivas. (Na limpeza, ativamos e reforçamos o Wordfence, então o site agora o roda como firewall no site junto com o monitoramento forense diário do Site Doctor.)

Aqui vai a parte honesta — e o motivo pelo qual monitoramento em camadas importa. O veredito automático não marcou o site como comprometido de imediato, justamente porque o malware foi feito para escapar de checagens por assinatura e por data. O que fez a diferença foi o acesso forense somente leitura do Site Doctor, que nos permitiu:

• Ler qualquer arquivo e qualquer valor do banco de dados no site ao vivo sem entrar em um painel possivelmente comprometido — assim extraímos o código do injetor, decodificamos o carregador em blockchain e lemos o backdoor na íntegra.
• Verificar a integridade contra os checksums oficiais — confirmando que o núcleo do WordPress e todos os plugins do repositório oficial estavam intactos em todas as instalações do servidor.
• Reproduzir o ataque em um navegador limpo para provar que o falso CAPTCHA era servido pelo site (e não pelo dispositivo do visitante).
• Ler os logs de acesso do servidor para reconstruir a linha do tempo, identificar a botnet atacante e confirmar como ela continuava voltando.

Igualmente importante: o incidente alimentou o próprio produto. As assinaturas exatas dessa família de malware (o formato do injetor, o padrão EtherHiding, o comportamento do backdoor sem senha) entraram na detecção, e o site agora recebe uma varredura automática diária para pegar qualquer coisa dormente que reative. Detecção que aprende com incidentes reais é exatamente o objetivo.

O que fizemos para limpar

1. Removemos o injetor do wp-config.php e validamos a sintaxe do arquivo.
2. Removemos o backdoor dos 17 temas; confirmamos que não sobrou nenhum rastro.
3. Confirmamos que a injeção sumiu das páginas ao vivo (o script malicioso deixou de ser servido).
4. Trocamos todas as chaves/salts de segurança — invalidando na hora qualquer sessão de login roubada.
5. Encerramos todas as sessões ativas e redefinimos as senhas de administrador.
6. Apagamos ~25 GB de cópias abandonadas de staging, backup e desenvolvimento — cada uma era superfície de ataque extra carregando o mesmo backdoor.
7. Removemos arquivos de risco deixados na raiz (incluindo uma ferramenta de administração de banco exposta).
8. Bloqueamos as faixas de IP atacantes e o padrão de URL do backdoor no nível do servidor web.
9. Ativamos e reforçamos o firewall no site (Wordfence), desativamos o editor de arquivos do painel e verificamos a integridade de núcleo + plugins em todas as instalações — com o Site Doctor rodando varreduras diárias por cima.

O que isso significa no seu dia a dia

• Um site “funcionando” ainda pode estar infectando os seus visitantes. O ClickFix ataca justamente quem confia na sua marca. Reputação e segurança do cliente estão em jogo, não só o uptime.
• O painel do WordPress não é um monitor de segurança. Esse malware era invisível lá. É preciso uma checagem independente, de fora do painel.
• Datas e varreduras pontuais não bastam. Malware moderno forja datas e se esconde de varreduras únicas. Monitoramento contínuo de nível forense é o sinal confiável.
• Sites de staging e backups antigos são perigosos. Cada cópia esquecida é uma porta. Se você não usa, apague.
• Velocidade importa. Quanto mais tempo um backdoor vive, mais pode ser roubado ou plantado. Detecção diária reduz essa janela.

Como proteger seu site WordPress do malware ClickFix

• Mantenha núcleo, temas e plugins atualizados; remova o que não usa.
• Nunca rode comandos de terminal/PowerShell que um site mandar — isso é sempre malicioso.
• Use um firewall de aplicação web (WAF) e desative o editor de arquivos do painel (DISALLOW_FILE_EDIT).
• Exija senhas de admin fortes e únicas, com autenticação em dois fatores.
• Troque os salts do wp-config.php se suspeitar de comprometimento.
• Faça monitoramento contínuo de nível forense (como o Site Doctor) que lê arquivos e banco de dados de fora do painel e verifica a integridade contra os checksums oficiais.
• Apague instalações abandonadas de staging, dev e backup.

Indicadores de comprometimento (IOCs) desta campanha

Outros administradores podem procurar por:

• Marcadores em PHP: _ea_wc, _ea_al, id="_ea_s", um bloco ob_start() dentro do wp-config.php.
• Um <script src="data:text/javascript;base64,…"> injetado no <head>.
• Chamada EtherHiding a um RPC da BNB Smart Chain e leitura de contrato (eth_call).
• Um parâmetro de URL que loga direto no /wp-admin/ sem senha.
• Acessos automatizados com user-agent “ShellBot” a caminhos aleatórios /sh….

(Não é indicador: sibautomation.com — é o rastreador legítimo do Brevo/SendinBlue e é seguro.)

Perguntas frequentes

O que é malware ClickFix? ClickFix é um ataque de engenharia social em que um site exibe um falso CAPTCHA ou popup de “verificação” que manda você colar e rodar um comando no PowerShell ou no Executar. Rodar isso instala um infostealer ou trojan de acesso remoto no seu próprio computador.

Um falso CAPTCHA pedindo para abrir o PowerShell é perigoso? Sim — sempre. Nenhum CAPTCHA de verdade pede para abrir um terminal ou rodar comandos. Feche a aba na hora e não cole nada no PowerShell nem no Executar.

O que é EtherHiding? EtherHiding é uma técnica em que o malware guarda seu payload em uma blockchain (como a BNB Smart Chain) e o busca em tempo de execução. Como o código vive na blockchain, não dá para removê-lo no nível de hospedagem ou DNS, e o atacante pode trocá-lo quando quiser.

Como o malware entrou no WordPress? O vetor de entrada provável foi um plugin vulnerável ou desatualizado, ou credenciais roubadas. Uma vez dentro, o atacante plantou um backdoor de admin sem senha em todos os temas para poder voltar mesmo após limpezas parciais.

Consigo remover o malware ClickFix sozinho? Dá, mas é fácil deixar passar injetores camuflados, carregadores em blockchain e backdoors com data forjada. Uma revisão forense que lê arquivos e banco de dados e verifica a integridade contra os checksums oficiais é bem mais segura — é exatamente para isso que o Site Doctor foi feito.

Um plugin de segurança como o Wordfence não barra o malware ClickFix? Ajuda, mas não basta sozinho — ele precisa estar ativo e atualizado, e famílias evasivas como esta (cloaking + payload em blockchain + datas forjadas) são feitas justamente para driblar varreduras por assinatura e por data. Neste caso o plugin estava instalado, porém inativo. O caminho confiável é em camadas: um firewall como o Wordfence e monitoramento forense contínuo (Site Doctor) que lê arquivos e banco de dados de fora do painel e verifica a integridade contra os checksums oficiais.

Como sei que meu site WordPress está realmente limpo? Verifique o núcleo do WordPress e os arquivos dos plugins contra os checksums oficiais, procure marcadores de injeção no banco e nos arquivos, confirme que nenhum script malicioso é servido a navegadores reais e monitore continuamente depois.

Conclusão

Esse site parecia perfeitamente saudável enquanto, em silêncio, servia malware ClickFix aos próprios visitantes e entregava acesso de admin a uma botnet. Ele ficou escondido porque foi construído para vencer as checagens comuns — mas o monitoramento contínuo de nível forense o revelou, comprovou e conduziu a uma limpeza completa. Se você tem um site WordPress e quer a mesma tranquilidade, o Site Doctor acompanha seu site todos os dias e pega o que o painel não mostra.

Quer seu site verificado? Fale com a gente para uma análise do Site Doctor.