Trojan WordPress: como seu site vira isca

Na pesquisa da WatchGuard, o NightshadeC2 começa num site WordPress comprometido. Veja como perceber se o seu site serve a isca e o que fazer.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 3 min de leitura

No ataque descrito pela WatchGuard, um site WordPress invadido mostra ao visitante a isca que pede para colar um comando. Arte: Eleven Host

Um trojan WordPress mostra como um site invadido vira isca: na pesquisa da WatchGuard sobre o NightshadeC2, o ataque começa num site WordPress comprometido, com JavaScript ofuscado que exibe ao visitante uma página pedindo para colar um comando.

O que a WatchGuard descreveu

A pesquisa do Threat Lab da WatchGuard, assinada por Euler Neto, foi divulgada em 15 de setembro de 2026. O NightshadeC2, também conhecido como CastleRAT, é um trojan de acesso remoto escrito em Python para Windows, operado pelo grupo TAG-150.

A cadeia vai do site ao computador do visitante, passando por PowerShell e por um carregador em Python 3.11. A pesquisa também detalha serviços legítimos usados no disfarce. Aqui o foco é o primeiro elo: o site.

A pesquisa cita seis países de língua inglesa e não diz que o Brasil foi atingido.

Quando o seu site vira o primeiro elo

Segundo a WatchGuard, o ponto de partida é um site WordPress comprometido que recebe JavaScript ofuscado. O script mostra a isca no estilo ClickFix: a página pede que o visitante copie e cole um comando.

Sinais de que o seu site pode estar servindo a isca

Os sinais abaixo são boas práticas gerais nossas, não uma lista da WatchGuard:

• Um visitante, cliente ou colega reclama de uma página que pede para colar um comando ou "provar que é humano" de forma estranha.
• Há um script desconhecido no tema, no rodapé ou no cabeçalho das páginas.
• Aparece um administrador que ninguém reconhece.
• Existe um plugin que você não instalou.

Administra o seu site num servidor próprio? Prepare-se para cuidar de atualizações, acessos e backups. Ver planos de VPS

O que fazer se encontrar algo

1. Guarde evidências: capturas de tela, o endereço da página e a data e a hora em que você viu o problema.
2. Tire o site do ar ou coloque em modo de manutenção.
3. Se alguém da equipe colou o comando num computador Windows, trate a máquina como comprometida e chame quem entende de TI.
4. Limpe o site e só depois troque as senhas: de administradores, do banco de dados e dos acessos ao servidor.
5. Restaure um backup limpo e testado, e confira os administradores e plugins antes de voltar ao ar.

O guia Backup de site: como fazer e testar a restauração mostra como ter uma cópia em que dá para confiar.

Prevenção para quem tem WordPress

Um exemplo prático: uma agência que cuida de vários sites pode reservar um tempo regular para abrir cada um, procurar scripts desconhecidos, conferir administradores e plugins e testar a restauração de um backup. Quem tem um único site faz o mesmo em menos tempo.

Para a visão completa, leia Segurança de sites: guia para quem tem e para quem visita.

Dúvida sobre os serviços da Eleven Host? Falar com a equipe

Perguntas frequentes

Meu site WordPress pode ser usado nesse tipo de ataque?

Na pesquisa, o ponto de partida é um site WordPress comprometido, que recebe JavaScript ofuscado.

O que significa JavaScript ofuscado?

É um script escrito de forma a dificultar a leitura. No caso descrito, ele exibe a isca ao visitante.

Devo trocar as senhas antes de limpar o site?

A boa prática é limpar primeiro e trocar depois, para que a senha nova não seja capturada se o invasor ainda tiver acesso.

O visitante também corre risco?

Sim, se colar o comando: segundo a pesquisa, o RAT pode roubar senhas e cookies de navegadores.