Cómo escanear WordPress en busca de Malware o Código Malicioso

Hoy en día, en los que la delincuencia en línea está empezando a superar a la delincuencia en la vida real, es importante aprender a protegerse a sí mismo y a tu sitio web, especialmente si tus ingresos dependen de él.

Cualquier persona con un sitio web es un objetivo potencial, pero cualquier persona con una versión de WordPress sin nungún cambio (ej. con el nombre de usuario «admin» y una contraseña genérica) tiene una gran diana roja estampada en la espalda, esperando que algún ciber delincuente termine por acceder y cause graves daños.

¿Por qué necesitas escanear tu sitio?

Puede parecer que el primer paso para tener un sitio web seguro es mejorar la seguridad para impedir que nadie pueda acceder, lo malo es que tu sitio ya puede haber sido hackeado. Una persona con malas intenciones puede estar teniendo acceso a tu sitio, incluso puede que el malware ya esté inyectado en tus archivos mientras hablamos. Es posible de que estés a ciegas porque no tienes las medidas para saber de que algo malo está pasando.

Cuando la gente piensa que un sitios web es atacado, lo más probable que piensa es sobre una desfiguración típica en su mente. Desfigurar es cuando un hacker reemplaza lo que se muestra inicialmente en la página web con otra cosa, por lo general el seudónimo del hacker apareciendo en la web con luces y colores.

Pero por regla general los hackers que tienen acceso a un sitio web, suelen esperar un tiempo para incluir algo. Luego discretamente empiezan a implementar algunos scripts maliciosos de malware u otros en el sitio. El solo tener acceso no es su principal intención, su intención es mucho peor que eso.

Sus intenciones pueden ser:

• Phishing (suplantación de identidad) para los nombres de usuario, contraseñas, correos electrónicos u otros aspectos que prefieres mantener en privado.
• Hacer que tus visitas descargen malware/troyanos/virus mediante la inyección de scripts en tu sitio web.
• Insertar código para hacer cosas diferentes, por ejemplo, crear un backdoor (entrada secreta), supervisar la actividad del usuario o robar información a partir de un formulario.
• Redirigir a tus visitas a un sitio con malware.

Una de las razones por las que es importante hacer un escaner en lugar de simplemente visitar tu sitio web, es que el hacker podría saber tu dirección IP (o tal vez utilizar las cookies para iniciar sesión en el área de administración) y han incluido código que muestra el sitio web sin nada extraño, que te conduce a pensar que tu sitio está bien, mientras que en realidad puedes arruinar tu reputación por tener programas maliciosos descargados a tus visitas (esto puede por ejemplo también conducir a que no seas indexado por Google y tu sitio se añade a una lista de sitios web donde Google Chrome advertirán a las visitas de sitio peligroso)

Así que todo esto significa que si estás comenzando a poner en práctica las medidas de seguridad de WordPress, es incluso mas importante comprobar y asegurarse de que no hay programas maliciosos y otras amenazas en tu página web en estos momentos.

A continuación pasamos por algunas maneras diferentes para encontrar el malware y otras amenazas en un sitio de WordPress.

Utiliza un «Site Checker»

En estos días, puedes comprobar de forma rápida y fácilmente en busca de malware mediante el uso de cualquiera de una serie de servicios gratuitos.

Pero, es necesario tener en cuenta que estos servicios comprueban si tu página de inicio u otras páginas visibles, incluyen scripts maliciosos, o tratan de hacer que las visitas descargen malware.

Servicios a utilizar:

• Sucuri sitecheck
• Virustotal
• Quttera

Estos servicios son fáciles de usar. Simplemente escribe la dirección URL, haz clic en el botón Scan, y posteriormente el servicio hace todo el trabajo por ti. Cuando estás limpio te comunica que no tienes que preocuparte en estos momentos.

El problema con estos servicios es que si el malware se encuentra en una página oculta (algo que no eres capaz de llegar a través de enlaces, no se encuentra en el pageindex, por ejemplo, el panel de administración de WordPress) no serás capaz de encontrarlo.

Esto dice Sucuri: «Sucuri SiteCheck es un explorador libre y remoto. Aunque hacemos todo lo posible para proporcionar los mejores resultados, el 100% de precisión no es realista, y no está garantizado».

Al final del día, un comprobador de instalaciones, como los mencionados anteriormente puede ser una buena manera de hacer un checkeo inicial si sospechas de algo raro en tu sitio, pero si estás tratando de limpiar tu sitio por haber sido hackeado, dejar las cosas así no es una muy buena idea.

Utilizar un plugin de escaneo

Hay plugins específicos que se centran en tener un sitio seguro, pero algunos plugins de seguridad de WordPress, Wordfence por ejemplo, ofrece un escaneo del sitio web también. Normalmente estos plugins buscan código malicioso conocido, pero algunos también van un paso mas allá y comparan los archivos del núcleo de WordPress, así como los temas y plugins. Entonces si encuentra alguna irregularidad, proporcionará una lista de todas los cambios.

Wordfence se ajusta automáticamente para comparar los archivos del núcleo de WordPress por si existen posibles cambios, y tiene la opción disponible para hacer lo mismo para los archivos de los plugin y temas (esto es muy recomendable si sospechas que tu sitio puede haber sido manipulado).

Puedes encontrar las opciones para la exploración del escaner debajo de la configuración de Wordfence. Para una primera exploración, te recomiendo estas opciones:

 

Dependiendo del volumen de imágenes en tu sitio puedes que no desees escanear archivos de imagen como si fueran ejecutables.

Una cosa a tener en cuenta cuando se está escaneando los archivos de temas y plugin, es que se pueden incluir los registros u otros archivos que naturalmente cambiaste con respecto a los archivos originales cuando se utiliza el plugin. Además, si tu mismo o un desarrollador ha realizado cambios a los archivos centrales de tu tema, se mostrará como advertencia también. Así que no te preocupes si tu exploración está mostrando advertencias como las de la foto de abajo.

Usar el escáner de Wordfence es una buena manera de comprobar si tienes cualquier tipo de malware o amenazas en cualquier lugar de tu sitio. De hecho, es el plugin que he usado para asegurarme de que había limpiado completamente después de un ataque a uno de mis sitios web de WordPress hace unos meses.

Otra gran función es que también te da la posibilidad para ordenar los archivos en cuestión desde el panel de WordPress, sin tener que preocuparte por entrar por FTP o un archivo de gestión.

Parece que es el único plugin que busca a través de todos los archivos, en lugar de una búsqueda de malware a nivel superficial como los escáneres basados ​​en las web anteriores.

Otros plugins de exploración que se pueden utilizar:

Wemahu: Un plugin de escaneo de malware que lamentablemente no parece estar bajo desarrollo activo en estos momentos.

Theme Authenticity Checker (TAC): Un plugin que comprueba cualquier tema que has instalado para el código malicioso, y entre otras cosas, enlaces cifrados no deseados en el pie de página o en otros lugares.

Hacerlo de forma manual

La principal técnica de buscar manualmente en busca de malware en archivos de WordPress, es simplemente buscando inconsistencias en el código, el tamaño de tu núcleo de WordPress y en los archivos de los temas/plugins del repositorio. Una forma sencilla (pero lenta) para comprobar en busca de malware, sería descargar nuevas copias del núcleo, tus temas y plugins, y luego comparar el tamaño y el código de forma individual.

Si mantienes las imágenes que subes a tu blog en una carpeta de tu ordenador o en un servicio en la nube como Dropbox, también se puede comprobar que los tamaños de las imágenes siguen siendo las mismas.

Aunque si no haces ninguna optimización de la imagen antes de subirla, los tamaños de archivos podrían haber sido cambiados en el proceso de carga. Lo mismo ocurre si se utilizan plugins de optimización de imágenes. De esta manera la mayoría de los tamaños de imagen serán diferentes de las versiones subidas y si hay malware, no habría forma de diferenciar.

El problema con este método es obviamente el tiempo para hacerlo. Para los sitios más grandes con miles de imágenes, es una locura si deseas hacerlo manualmente.

Si está familiarizado con su uso, se puede utilizar un scraper para recoger la mayor parte de los datos y luego compararlo con el uso de hojas de cálculo u otro software.

En cuanto a la eliminación, simplemente eliminar y reemplazar los archivos en cuestión.

Usar un plugin o servicio para monitorear cambios en el código o archivos

Para evitar que alguien te cuele código malicioso o malware, puedes utilizar un plugin o servicio para monitorear los cambios en el código y archivos.

Sucuri no sólo toma nota de estos cambios cuando se hace a través de WordPress, si no que además te envía inmediatamente un correo cada vez que se cambia un archivo, (junto con cada vez que ha habido un fracaso, o de especial interés exitoso intento de inicio de sesión). Esto te permite reaccionar rápidamente a los cambios maliciosos de tu sitio web.

También hay servicios como CodeGuard. Estos monitorean cualquier cambio en los archivos, la adición de nuevos archivos, y te envían informes fáciles de comprender de forma regular. Todo lo que necesitas hacer es echar un vistazo rápido, y si ves los cambios que tu (o el personal encargado) sospechas de no haberlo hecho, a continuación, mira e investiga más de cerca esos archivos.

Conclusión

Un análisis en busca de malware y de amenazas es una parte vital para mantener un sitio web seguro y próspero, y es absolutamente necesario si las medidas de seguridad de tu sitio han sido negligentes en el pasado. La buena noticia es lo fácil que se puede hacer.

¿Alguna vez has tenido un fallo de seguridad en un sitio de WordPress, o incluso has descubierto malware y otras amenazas? ¿Cómo las encontraste? Compártelo con un comentario a continuación.