Precisa de Ajuda?
Caso tenha alguma dúvida, entre em contato pelos canais:
Após a conclusão de uma limpeza manual de malware realizada por um Analista de Segurança da SiteLock, é crucial que você revise o e-mail enviado em sua totalidade imediatamente. Normalmente, há etapas de acompanhamento que precisam ser executadas para manter o site funcional e livre de malware.
Remover o malware é apenas metade da batalha. Após a limpeza, a vulnerabilidade original que permitiu a entrada do malware ainda precisa ser resolvida. Ignorar essas etapas de acompanhamento pode resultar em uma reinfecção por malware.
Embora o SiteLock não possa fornecer o vetor de ataque específico usado pelo malware, o Analista de Segurança da SiteLock verificará pontos de entrada comuns e fará recomendações com base nas descobertas.
Trabalhando juntos, podemos manter o seu site protegido contra a maioria dos ataques de malware!
Sistemas de Gerenciamento de Conteúdo (CMS), como WordPress, Joomla e Drupal, facilitam o gerenciamento de sites, mas também podem introduzir vulnerabilidades caso não sejam devidamente mantidos. É crucial manter seu CMS atualizado regularmente para garantir que seu site esteja protegido contra ataques recém-descobertos.
Por que as Atualizações de CMS São Cruciais
As plataformas de CMS evoluem constantemente para aprimorar recursos, corrigir falhas e, o mais importante, corrigir vulnerabilidades de segurança. Hackers frequentemente exploram vulnerabilidades conhecidas em versões desatualizadas do CMS, plugins ou temas para obter acesso não autorizado, desfigurar sites ou injetar código malicioso.
Não atualizar seu CMS coloca seu site em risco de:
Exploits de vulnerabilidades:
Software desatualizado é uma das formas mais comuns de invasão.
Plugins e temas inseguros:
Mesmo que os arquivos principais do CMS estejam atualizados, plugins ou temas desatualizados com falhas podem levar a ataques.
Desempenho reduzido:
Além da segurança, as atualizações geralmente melhoram o desempenho do site, garantindo que ele funcione de maneira eficiente.
Boas Práticas para Manutenção do CMS
Ative Atualizações Automáticas (Sempre que Possível)
Muitos CMS oferecem atualizações automáticas para patches de segurança menores. Ativar essa funcionalidade garante que seu site seja atualizado assim que os patches forem lançados, reduzindo a exposição a vulnerabilidades conhecidas. Para atualizações maiores, prefira atualizar manualmente para garantir a compatibilidade com plugins e temas.
Verifique Regularmente por Atualizações
Mesmo com atualizações automáticas habilitadas para versões menores, é importante verificar regularmente por novas atualizações para o CMS, plugins e temas. Atualizações maiores frequentemente incluem correções de segurança críticas que podem não ser aplicadas automaticamente.
Faça Backup Antes de Atualizar
Crie sempre um backup completo do site antes de realizar atualizações. Caso algo dê errado ou surja um conflito, você poderá restaurar o site ao estado anterior sem perder dados.
Armazene backups fora do servidor
Mantenha os backups em um servidor separado ou em armazenamento na nuvem para maior segurança.
Monitore Atualizações de Plugins e Temas
Além de manter o núcleo do CMS atualizado, não se esqueça dos plugins e temas que oferecem funcionalidades e design ao seu site. Esses componentes também podem conter vulnerabilidades e, se desatualizados, são alvos frequentes de ataques.
Defina um cronograma
Reserve tempo semanal ou mensal para verificar atualizações.
Teste atualizações
Antes de aplicar grandes atualizações, teste-as em um ambiente de staging para garantir compatibilidade e evitar problemas.
Remova plugins/temas não utilizados
Desative e exclua plugins ou temas que você não usa mais. Código não mantido representa um risco à segurança.
Use plugins/temas confiáveis
Escolha componentes bem avaliados e regularmente atualizados. Sempre baixe de fontes confiáveis, como repositórios oficiais.
Manter seu CMS e seus arquivos relacionados atualizados é uma das melhores defesas contra ataques cibernéticos e um passo essencial para manter a integridade e o desempenho do seu site.
Um plugin de gerenciamento de arquivos (File Manager Plugin) oferece conveniência, mas à custa da segurança. Por padrão, a maioria dos provedores de hospedagem já oferece cPanel ou experiências similares que incluem gerenciadores de arquivos seguros. Além disso, os provedores geralmente fornecem acesso FTP para permitir que os usuários criem conexões seguras ao site usando clientes FTP, como o FileZilla.
Adicionar um plugin de gerenciamento de arquivos no nível do site amplia a funcionalidade para enviar, baixar, modificar ou excluir arquivos diretamente no site. Além disso, esses plugins frequentemente têm permissões para acessar arquivos além dos associados ao próprio site.
O que isso significa?
Isso implica que, se um dos administradores do site usar uma senha fraca ou clicar em links ou e-mails maliciosos, o usuário pode ser comprometido. Com um gerenciador de arquivos no nível do site, o invasor pode ter acesso direto não apenas aos arquivos deste site, mas também de outros sites hospedados na mesma conta.
Riscos de Segurança
Vulnerabilidades Exploráveis
Plugins de gerenciamento de arquivos frequentemente possuem vulnerabilidades que hackers podem explorar para obter acesso não autorizado ao seu site. Esses plugins permitem acesso direto ao sistema de arquivos do site, facilitando o envio de arquivos maliciosos.
Permissões Excessivas
Esses plugins geralmente exigem permissões avançadas para gerenciar arquivos, o que aumenta o potencial de abuso, especialmente se não forem configurados corretamente ou se uma vulnerabilidade for descoberta.
Funcionalidade Redundante
A maioria das plataformas de hospedagem já oferece gerenciamento seguro de arquivos por meio de serviços como FTP ou SSH, que são mais seguros e controlados. Plugins de gerenciamento de arquivos geralmente são redundantes e desnecessários quando essas alternativas mais seguras estão disponíveis.
Maior Superfície de Ataque
Quanto mais plugins você possui, maior é a superfície de ataque do site. Remover plugins desnecessários, especialmente aqueles que acessam arquivos críticos diretamente, reduz as chances de violações de segurança.
Por razões de segurança e desempenho, é mais seguro gerenciar os arquivos do site usando o painel de controle da hospedagem ou via FTP, SFTP ou SSH, em vez de depender de plugins de gerenciamento de arquivos.
Isso mantém o controle sobre quem pode acessar arquivos críticos e reduz as oportunidades para que invasores explorem vulnerabilidades no seu site.
Uma das maneiras mais comuns de criar um backup temporário é duplicar um diretório cheio de arquivos. Isso permite que você faça alterações e, caso algo dê errado, utilize o diretório duplicado como restauração. Embora isso possa ser útil como solução temporária, muitos administradores de sites acabam deixando a pasta duplicada no servidor com a ideia de que será útil no futuro caso precisem restaurar o site.
Infelizmente, essa prática pode causar muitos ataques de malware. O diretório duplicado ainda contém código executável e, mesmo sem um domínio ativo apontado para ele, um invasor pode usar um domínio temporário ou IP para acessar o código desatualizado na pasta duplicada.
Problemas Comuns de Diretórios Duplicados
Infecção de Malware nos Backups
Em caso de ataque ao site principal, o malware se replica pelo diretório de arquivos, infectando também as pastas duplicadas. Isso torna esses backups inutilizáveis, pois eles contêm o mesmo malware que o site ativo.
Origem do Malware
Muitas vezes, a pasta duplicada com código desatualizado pode ser a própria fonte do malware. Por estar na mesma localização que o site ativo, ela pode comprometer o site ao vivo.
Dificuldade em Remediar Malware
Essas pastas duplicadas dificultam a limpeza do site. O SMART File Scanner pode continuar removendo o mesmo malware do site principal diariamente. Isso pode indicar que há malware fora do diretório raiz do site — geralmente em pastas duplicadas armazenadas indevidamente.
Melhores Práticas
Backup Regular e Armazenamento Externo
Realize backups frequentes e armazene-os em um local diferente do servidor da web. Isso garante que, em caso de ataque de malware, você tenha backups confiáveis não impactados pelo problema.
Solução Manual (Low Tech)
Faça backups manualmente e armazene-os em uma pasta segura no seu computador. Apesar de manual, é essencial manter uma programação consistente para garantir a segurança.
Soluções de Backup Automatizadas
Utilize soluções específicas de backup. Essas podem variar desde plugins até serviços completos, como o SiteLock Backup, que oferece uma maneira mais segura e prática de manter backups protegidos.
Seguir essas práticas garante que seus backups estejam seguros e prontos para restaurar seu site sem o risco de reinfecção ou de enfrentar dificuldades adicionais na remediação de malware.
Uma das dicas de segurança mais conhecidas é usar senhas fortes, e isso por um bom motivo. Um único usuário administrador comprometido pode causar impactos devastadores em seu site. É fundamental não reutilizar senhas. Aplicativos de terceiros frequentemente sofrem violações, e dados roubados dessas plataformas podem acabar em vazamentos disponíveis na dark web.
Esses vazamentos geralmente contêm informações como endereço de e-mail e senha do aplicativo comprometido. Se você usou a mesma combinação de e-mail e senha em outros lugares, todos esses locais estarão vulneráveis até que essas credenciais reutilizadas sejam atualizadas.
Isso também pode abrir portas para e-mails falsos de ransomware, onde o invasor envia um e-mail para o seu endereço de e-mail e fornece sua senha como "prova" de que têm acesso aos seus dados. Em um ataque real de ransomware, o invasor criptografa seus dados e oferece a chave de desbloqueio mediante pagamento. Esses e-mails falsos são uma tentativa de obter lucro com um esforço mínimo, usando e-mails e senhas comprometidos.
Se você deseja verificar seu endereço de e-mail em relação a violações de dados conhecidas, o site Have I Been Pwned é uma excelente ferramenta.
Boas Práticas para Senhas de Sites
Use Senhas Fortes e Únicas
Comprimento: Senhas devem ter pelo menos 12 a 16 caracteres.
Complexidade: Inclua uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais.
Evite Previsibilidade: Não use informações fáceis de adivinhar, como nomes, datas de nascimento ou frases comuns.
Única para Cada Conta: Não reutilize senhas entre diferentes contas. Cada conta, especialmente as administrativas, deve ter uma senha única. Habilite a Autenticação de Dois Fatores (2FA)
Adicione uma camada extra de segurança exigindo um segundo fator de autenticação, como um código enviado por mensagem de texto ou um token gerado por aplicativo, além da senha.
Revise Regularmente os Usuários do Site
Realizar auditorias regulares de administradores do site e outros papéis com permissões elevadas é uma ótima maneira de garantir que apenas usuários necessários tenham acesso.
Princípio do Menor Privilégio: Usuários que precisam de acesso temporário para realizar alterações devem receber acesso apenas pelo tempo necessário.
Altere e Atualize Senhas Regularmente
Atualize periodicamente as senhas, especialmente para contas com privilégios elevados (como administradores ou acessos ao servidor).
Sempre que houver suspeita de comprometimento ou após uma limpeza de malware, é altamente recomendado alterar as senhas imediatamente.
Seguindo essas práticas, você fortalece a segurança do seu site, minimiza riscos de ataques e protege a integridade de seus dados e de seus visitantes.
O uso de CAPTCHAs (Teste de Turing Público Completamente Automático para Diferenciar Computadores de Humanos) em formulários do seu site é uma forma eficaz de aumentar a segurança e melhorar a experiência do usuário. Aqui estão os motivos pelos quais incorporar CAPTCHAs é benéfico:
Previna Spam e Ataques de Bots
CAPTCHAs são projetados para diferenciar usuários humanos de bots automatizados. Ao exigir que os usuários concluam um desafio CAPTCHA (como identificar objetos em imagens ou digitar texto distorcido), você bloqueia bots de enviar formulários, reduzindo spam e ataques automatizados.
Proteja Contra Abusos
Os formulários do seu site podem ser explorados para diversos tipos de abuso, incluindo:
CAPTCHAs ajudam a mitigar esses riscos, garantindo que apenas usuários humanos possam enviar formulários.
Reduza a Criação de Contas Falsas
CAPTCHAs podem impedir que bots criem contas de usuários falsas em seu site. Isso é especialmente importante para sites que oferecem registro de usuários ou exigem credenciais de login, pois contas falsas podem:
Aumente a Segurança
CAPTCHAs adicionam uma camada extra de segurança, verificando que as interações com seu site estão vindo de usuários reais, em vez de sistemas automatizados. Isso pode ajudar a proteger contra ataques como Credential Stuffing e outras ameaças automatizadas.
Melhor Prática
Incorporar CAPTCHAs aos formulários do seu site é uma medida proativa para protegê-lo de spam, abusos e ataques automatizados, garantindo que as interações venham de usuários genuínos.
Ao equilibrar segurança e experiência do usuário, escolha uma solução CAPTCHA que se adeque às necessidades do seu site e ofereça uma experiência fluida para usuários legítimos.
Caso tenha alguma dúvida, entre em contato pelos canais:
