Caso real · Despacho de consultoría
Un ladrón de contraseñas escondido en WordPress
El sitio de un despacho de consultoría tenía la infección más profunda que hemos visto: robaba la contraseña de cada persona que iniciaba sesión.
Qué encontramos
- Un plugin "obligatorio" falso que se activaba en cada inicio de sesión y enviaba el usuario y la contraseña a los atacantes.
- La dirección del servidor de los atacantes no estaba escrita en el código: la consultaba en una cadena de bloques (blockchain), para que no pudiera bloquearse fácilmente.
- Cerca de 100 archivos de acceso remoto escondidos en carpetas que imitaban partes de WordPress, e incluso una carpeta que fingía ser de validación del certificado SSL.
- Tres formas independientes de volver a infectar el sitio: código en el archivo de configuración, en el tema y en tareas programadas dentro de la base de datos.
Qué hicimos
- Eliminamos los plugins falsos, las puertas traseras, los administradores falsos y las tareas programadas maliciosas.
- Restauramos los archivos originales de WordPress y dejamos activos solo los plugins indispensables.
- Un archivo seguía regenerándose; lo bloqueamos a nivel del servidor para que no pudiera volver a escribirse.
Resultado
El sitio quedó en línea y contenido. Pero con un robo de contraseñas de por medio y tantas capas, fuimos claros: no se puede garantizar al 100% que no quede nada, así que recomendamos reconstruirlo limpio y cambiar todas las contraseñas.
Lección: Si un atacante pudo robar contraseñas, limpiar no basta: hay que cambiar todas las credenciales (del sitio, del correo y de cualquier servicio donde se repitan) y, en infecciones profundas, reconstruir.
¿A tu sitio le pasa algo parecido?
Mándanos la dirección por WhatsApp y te decimos qué encontramos.
Revisa tu sitio gratis · Más sobre este problema: Página web hackeada · Todos los casos
Publicamos este caso sin nombre ni dominio del cliente. Las cifras son las registradas durante la atención.