Malware NightshadeC2: como o ataque se esconde
- 28/09/2026
- 20:58
Site WordPress invadido, isca que pede para colar comando e um RAT para Windows: a cadeia do NightshadeC2 e o que donos de site devem fazer.
Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 4 min de leitura
O NightshadeC2 parte de um site WordPress invadido e usa Ethereum e Cloudflare R2 para se esconder. Arte: Eleven Host
O malware NightshadeC2 é um trojan de acesso remoto para Windows que usa a rede Ethereum e a Cloudflare para esconder o ataque, segundo a pesquisa da WatchGuard. A porta de entrada é um site WordPress comprometido, o que interessa a quem mantém um site.
O que aconteceu
O TecheNet publicou em 28 de setembro de 2026 uma reportagem sobre a pesquisa original, divulgada em 15 de setembro pelo Threat Lab da WatchGuard. O NightshadeC2, também conhecido como CastleRAT, é um RAT, sigla em inglês para trojan de acesso remoto, escrito em Python para Windows.
O operador é o TAG-150, grupo russo que vende malware como serviço. A WatchGuard o descreve como ativo desde março de 2025.
Como a cadeia de ataque funciona
- Um site WordPress comprometido recebe JavaScript ofuscado.
- A página exibe uma isca no estilo ClickFix: pede que o visitante copie e cole um comando.
- O comando abre o PowerShell.
- Na sequência, entra em ação um carregador em Python 3.11.
- Por fim, chega o RAT.
Segundo a WatchGuard, uma verificação legítima nunca pede PowerShell. Se a página pedir para colar um comando, feche.
Os serviços legítimos usados no disfarce
A lógica de entrega fica cifrada em smart contracts na rede de teste Ethereum Sepolia e é lida por JSON-RPC. Segundo a pesquisa, derrubar domínios não interrompe o ataque. Um bucket Cloudflare R2 distribui o executável falso, chamado IntelSoftwareUpdaterVX. A pesquisa trata isso como abuso de serviço legítimo, e não como falha da Cloudflare. Perfis da Steam Community guardam o endereço do servidor de controle, como uma caixa de recados que o malware consulta.
Os alvos citados são seis países de língua inglesa: EUA, Canadá, Reino Unido, Irlanda, Austrália e Nova Zelândia. O malware não roda em países da CEI (Comunidade dos Estados Independentes). As fontes não dizem que o Brasil foi atingido.
Entre as capacidades estão persistência no sistema, registro do que é digitado (keylogging), roubo da área de transferência, captura de tela, sequestro de sessão do navegador, roubo de senhas e cookies (navegadores Chromium e Gecko) e de carteiras de criptomoedas.
O que isso ensina a quem tem site
O ponto de partida do golpe foi um site WordPress invadido. As fontes não dizem quais sites foram comprometidos: descrevem um site WordPress invadido como ponto de partida. Manter o seu site atualizado é boa prática geral, sem relação comprovada com este caso. Situações práticas:
- Blog esquecido: o site tem anos, o painel nunca foi atualizado e ninguém lembra quem é administrador.
- Loja com plugins demais: cada plugin parado é uma peça a mais para manter em dia.
- Agência com várias contas: um ex-colaborador ainda tem acesso de administrador a um site de cliente.
Entenda melhor o programa em O que é WordPress e para que serve: guia completo e revise o básico em Segurança de sites: guia para quem tem e para quem visita.
Quem administra o próprio servidor deve cuidar de atualizações, acessos e backups. Ver planos de VPS
O que fazer agora
Entenda
A WatchGuard recomenda ensinar que uma verificação legítima nunca pede PowerShell, vigiar a sequência navegador seguido de PowerShell e tarefas agendadas que imitam atualizadores, vigiar chamadas RPC a blockchain e restringir o PowerShell por política de grupo. Isso vale para equipes de TI. Como boa prática geral para o dono de site:
- Atualize o WordPress, os temas e os plugins, e remova o que não usa.
- Revise a lista de administradores e apague contas desconhecidas ou de quem saiu.
- Procure scripts estranhos no código das páginas e peça ajuda a quem entende se encontrar algo.
- Avise a equipe e os clientes: ninguém precisa colar comando para provar que é humano.
Dúvida sobre os serviços da Eleven Host? Falar com a equipe
Perguntas frequentes
O que é o NightshadeC2?
Um trojan de acesso remoto em Python para Windows, também conhecido como CastleRAT, segundo a WatchGuard e o TecheNet.
O ataque atingiu o Brasil?
As fontes citam seis países de língua inglesa e não dizem que o Brasil foi atingido.
A Cloudflare tem uma falha?
Não. A pesquisa trata o uso do bucket Cloudflare R2 como abuso de um serviço legítimo.
Como o visitante se protege da isca ClickFix?
Não colando comandos pedidos por uma página. A WatchGuard orienta ensinar que verificação legítima nunca pede PowerShell.
