Resumo: Pesquisadores da Sucuri analisaram a família de malware “SC”, que cria pelo menos oito pontos de persistência interligados — diretiva auto_prepend_file no .user.ini, loaders PHP ocultos, os drop-ins wp-content/db.php e advanced-cache.php, bloco injetado no functions.php do tema, must-use plugin e uma cópia como plugin comum — além de guardar o payload compactado em uma linha aleatória da tabela wp_options e na memória compartilhada System V do servidor. Cada componente restaura os outros, então apagar só o plugin visível dispara a reinfecção na próxima requisição. O backdoor busca comandos em contratos inteligentes da Ethereum, desativa plugins de segurança e pode injetar skimmers de pagamento em lojas. É diferente do malware de mu-plugin documentado pela Wordfence em 23/09, embora use técnicas parecidas. Análise original: blog.sucuri.net/2026/09/sc-wordpress-malware-a-self-healing-mesh-of-loaders-drop-ins-and-a-blockchain-controlled-backdoor.html
Fonte: GBHackers / Sucuri
O que fazer: Antes de apagar arquivos, coloque o site em manutenção e faça cópia forense. Confira .user.ini e .htaccess em busca de auto_prepend_file desconhecido, neutralize a diretiva e reinicie o PHP-FPM antes de remover o loader apontado. Revise wp-content/db.php, wp-content/advanced-cache.php, a pasta wp-content/mu-plugins/ e o functions.php do tema ativo. No banco, procure opções com nomes aleatórios e conteúdo em Base64 na wp_options, administradores desconhecidos, eventos de cron estranhos (wp cron event list) e triggers. Peça à hospedagem para verificar segmentos de memória compartilhada (ipcs -m). Depois reinstale o núcleo, temas e plugins de fontes confiáveis, troque todas as senhas e regenere as salts do wp-config.php.