Caso real · Cinco sitios de un mismo servidor
76 administradores falsos y un archivo que se reparaba solo
En un mismo servidor, cinco sitios tenían administradores que nadie creó. En uno, 35 de sus 38 usuarios eran falsos.
76cuentas de administrador falsas
35 de 38usuarios falsos en un solo sitio
13 minen volver a infectarse
5sitios afectados
Qué encontramos
- Cuentas de administrador falsas con patrones repetidos: nombres genéricos, correos de dominios inventados y copias del nombre del administrador real con seis caracteres extra para pasar desapercibidas.
- Las cuentas falsas tenían menos datos internos que un usuario real y ningún contenido: una huella que permite encontrarlas todas.
- Al restaurar el archivo principal de uno de los sitios, se volvió a infectar a los 13 minutos.
- La causa: dos archivos escondidos entre los estilos del panel de WordPress que comparaban el archivo principal con su versión maliciosa y lo reescribían si alguien lo limpiaba.
Qué hicimos
- Identificamos la huella del atacante y eliminamos las 76 cuentas falsas sin tocar a los usuarios reales.
- Encontramos y eliminamos el mecanismo de autorreparación antes de volver a limpiar los archivos.
- Actualizamos WordPress y activamos las actualizaciones automáticas de seguridad.
Resultado
Los cinco sitios quedaron limpios y en línea, sin cuentas falsas y sin reinfección.
Lección: Si limpias un archivo y vuelve a aparecer infectado, hay otro archivo vigilándolo. Hasta no encontrar ese vigilante, cualquier limpieza dura minutos.
¿A tu sitio le pasa algo parecido?
Mándanos la dirección por WhatsApp y te decimos qué encontramos.
Revisa tu sitio gratis · Más sobre este problema: Página web hackeada · Todos los casos
Publicamos este caso sin nombre ni dominio del cliente. Las cifras son las registradas durante la atención.