Sitio WordPress pirateado: los pasos para limpiarlo y evitar una reinfección

Sitio WordPress pirateado: lo que hace nexya y lo que no hace

Un sitio WordPress pirateado suele reconocerse por signos específicos: cuentas de administrador que nadie ha creado, archivos PHP desconocidos en la carpeta de medios, redireccionamientos a sitios sospechosos o una infección que reaparece unos días después de una limpieza completa. Estos son los casos que más se repiten en los foros de WordPress.org.

Digámoslo de inmediato: nexya no limpia programas maliciosos. No tiene un escáner antimalware y no elimina ningún archivo infectado. Interviene antes y después de la limpieza: detecta lo que ha cambiado, cierra las puertas de entrada conocidas y te avisa si algo vuelve a moverse.

La limpieza en sí se realiza a mano, con tu proveedor de hosting, una herramienta especializada o un profesional. Este artículo describe el orden en el que se debe proceder y en qué momento nexya puede ayudarte.

Las primeras horas: cerrar, copiar, avisar

Antes de borrar nada, cierra el sitio al público. El módulo Mantenimiento muestra una página de espera a los visitantes mientras trabajas en el sitio, con la sesión iniciada. De este modo, tus visitantes no son redirigidos ni expuestos durante la intervención.

A continuación, haz una copia de la base de datos. El módulo Mantenimiento permite exportar la base. Aunque esté infectada, esta copia es útil: conserva el registro de lo que el atacante ha modificado y permite retroceder si la limpieza borra demasiadas cosas.

Por último, avisa a tu proveedor de hosting. Él tiene acceso a los registros (logs) del servidor, que WordPress no ve, y puede decirte si otros sitios de la misma cuenta están afectados. A menudo es ahí donde se encuentra la respuesta a la pregunta «por dónde han entrado».

Limpiar: partir de archivos que se sabe que están limpios

Un webshell es un pequeño archivo PHP que le da al atacante acceso al servidor. A menudo se oculta en wp-content/uploads, en la carpeta de un plugin o bajo un nombre que imita un archivo de WordPress. Si los borras uno por uno, casi siempre olvidarás alguno.

Lo más seguro es reemplazar los archivos en lugar de seleccionarlos:

En este aspecto, el módulo Seguridad te ayuda. Desde la versión 1.2.34, compara cada día los archivos del núcleo de WordPress con los originales publicados por wordpress.org. Enumera cualquier archivo modificado, cualquier archivo faltante y cualquier archivo PHP que no deba estar ahí, y te envía un correo electrónico cuando encuentra uno nuevo. La comparación se realiza únicamente en el núcleo: los plugins, los temas y los archivos multimedia debes verificarlos tú mismo.

• reinstalar el núcleo de WordPress a partir del archivo comprimido oficial de wordpress.org;
• reinstalar cada plugin y cada tema desde su fuente oficial, y eliminar aquellos que ya no utilices;
• buscar archivos PHP en wp-content/uploads, donde normalmente no deberían estar;
• revisar wp-config.php y la carpeta mu-plugins, dos lugares que a menudo se pasan por alto.

Las cuentas de administrador creadas por el atacante

Cuando las cuentas de administrador reaparecen después de haber sido eliminadas, casi siempre sigue habiendo una puerta trasera activa, ya sea en un archivo o en la base de datos. Por lo tanto, eliminar estas cuentas no es suficiente, pero aun así hay que hacerlo y, al mismo tiempo, cambiar todo lo que da acceso al sitio.

El módulo Roles & capacidades organiza los permisos según el tipo de contenido que los crea. Puedes ver de un vistazo lo que cada rol puede hacer y detectar más fácilmente un rol ordinario que ha recibido permisos que no debería tener. También puedes ver el sitio con los ojos de otro rol sin abandonar tu propia cuenta.

• eliminar las cuentas desconocidas y cambiar la contraseña de todos los administradores;
• renovar las claves de seguridad de wp-config.php, lo que cierra todas las sesiones abiertas;
• cambiar también los accesos FTP o SFTP, los de la base de datos y los de la cuenta de hosting.

Por qué el sitio se reinfecta después de una limpieza completa

Es la situación más desalentadora: todo se ha limpiado, se han cambiado las contraseñas y la infección regresa. Las causas habituales son pocas.

Contra la primera causa, el módulo Seguridad comprueba los plugins instalados en comparación con la lista de vulnerabilidades conocidas. Esta comprobación forma parte de la versión gratuita. nexya Pro añade una revisión automática todos los días.

Un plugin señalado como vulnerable debe actualizarse, o eliminarse si no existe ninguna corrección. Justo antes de cada actualización, el módulo Mantenimiento guarda la versión anterior del plugin. Si la nueva versión rompe algo, puedes restaurarla con un solo clic.

• la vulnerabilidad por la que entró el atacante sigue ahí, a menudo en un plugin o tema desactualizado;
• una puerta trasera ha sobrevivido en la base de datos, en una tarea programada o en un archivo olvidado;
• otro sitio de la misma cuenta de hosting ha permanecido infectado y vuelve a contaminar el tuyo;
• un ordenador comprometido transmite las nuevas contraseñas al atacante.

Si la puerta de entrada sigue abierta, una limpieza no sirve de nada.

Asegurar el sitio: lo que implementa el módulo Seguridad

Una vez que el sitio está limpio, el módulo Seguridad reduce las posibilidades de ataque de varias maneras.

Las cabeceras de seguridad indican al navegador cómo debe tratar las páginas del sitio. No sustituyen a una limpieza, pero dificultan la explotación de ciertas vulnerabilidades desde el lado del visitante.

La política de seguridad de contenido (CSP) establece la lista de orígenes desde los cuales el sitio puede cargar scripts, estilos o imágenes. Si un script inyectado intenta cargarse desde un dominio que no está en la lista, el navegador lo rechaza. Después de configurarla, navegue por el sitio para comprobar que sus servicios legítimos estén correctamente autorizados.

El límite de conexiones fallidas bloquea una dirección tras varios intentos fallidos, aumentando el tiempo cada vez. El verdadero propietario de la cuenta la desbloquea mediante un enlace recibido por correo electrónico. Un correo electrónico también le avisa cuando se bloquea una dirección, como máximo uno por hora.

nexya Pro añade una verificación en dos pasos, obligatoria para los roles que usted elija: un código obtenido de una aplicación de autenticación o recibido por correo electrónico, junto con códigos de emergencia. De este modo, una contraseña robada ya no es suficiente para abrir una cuenta de administrador.

Asegurar un sitio de WordPress pirateado con nexya en cuatro pasos

1. 1

   Cerrar el sitio durante la intervención

   En el módulo de Mantenimiento, active la página de espera antes de tocar los archivos y, a continuación, exporte la base de datos desde el mismo módulo. Guarde esta copia fuera del servidor.

   
2. 2

   Activar el módulo de Seguridad desde el centro de control (hub)

   Active Seguridad en el centro de control. Lea la lista de plugins marcados como vulnerables y, a continuación, la de los archivos del núcleo que difieren de los originales de wordpress.org. Actualice o elimine lo que se indique.

   
3. 3

   Configurar las cabeceras y la política de seguridad de contenido

   Una vez limpio el sitio, active las cabeceras de seguridad y la política de seguridad de contenido, y luego navegue por el sitio para comprobar que sus servicios legítimos estén debidamente autorizados. El límite de conexiones fallidas forma parte del mismo módulo.

   
4. 4

   Supervisar los cambios en las semanas siguientes

   Active el registro de actividad y consúltelo regularmente: cada modificación aparece en él con su autor y el estado anterior y posterior. Cualquier cambio que nadie haya realizado debe alertarle.

   

Después de la limpieza: supervisar sin pasar todo el día en ello

El registro de actividad indica quién ha cambiado qué, mostrando el estado antes y después de la modificación. En las semanas posteriores a la limpieza, es ahí donde detectará cualquier cambio que nadie del equipo haya realizado.

nexya Pro añade una huella digital de los archivos con función de reversión, así como una conservación más prolongada de los registros.

Guarde también copias de seguridad fuera del servidor. Una copia almacenada en el mismo proveedor de alojamiento puede verse afectada al mismo tiempo que el sitio.

Todos estos módulos se activan y desactivan desde el centro de control (hub). Un módulo desactivado no registra nada en el sitio: solo activa lo que necesita.