Infección grave en ficheros Javascript de WordPress

Hace días que vengo investigando un asunto, una infección grave en ficheros Javascript que genera redirecciones y, en ocasiones, avisos de alerta de virus/troyanos en los sitios infectados.

Lo complicado del asunto es que el puñetero bicho se esconde bastante bien, y un repaso general, incluso un chequeo con los plugins habituales de seguridad para WordPress, no lo detectan. Esto es debido a que se esconde mediante código ofuscado Base64 en archivos con extensión .js allá donde puede.

De hecho puedes estar días, semanas o meses sin saber si estás infectado, salvo que revises la ventana de actividad de tu navegador o te avise alguien con algún antivirus especialmente sensible, como los modos paranoia de AVAST, que es como me enteré yo.

Uno de los primeros síntomas que puedes comprobar es, desde la ventana de actividad del navegador (en mi caso Safari), alguna llamada a la IP 91.196.216.64, que haciendo lookup te lleva de viaje nada menos que a la Federación Rusa, y es una IP que ya ha sido reportada como fuente de spam y troyanos, ¿a que ya va dando miedito?.

También puedes comprobarlo en la barra de estado de, por ejemplo, Firefox, si se queda pensando tratando de conectar con esa misma IP o una muy similar. Lo haría de este modo:

Nota: el dominio a que redirige puede cambiar

En caso afirmativo ponte manos a la obra, y sino tampoco estará de más que des un repaso a tu instalación de WordPres.

Nota: En este punto quiero aclarar que no es una infección exclusiva de WordPress sino que este bicho puede afectar a cualquier sitio web con ficheros Javascript, aunque de momento se ha afincado en instalaciones inseguras de nuestro querido CMS.

Lo primero sería revisar los ficheros con extensión .php y .js de tu tema, si en alguno de ellos – cotejándolo con los archivos originales recién descargados – encuentras líneas al final de más, prepara un café que tienes para rato. Normalmente, en los ficheros PHP encontrarás código ofuscado de este estilo:

En los JS sería algo así:

Este maldito engendro tiene la mala costumbre, además, de crear ficheros PHP, con nombres y código aleatorio, así que además puede llenar tu instalación de archivos PHP que ejecutan – de nuevo – código ofuscado. También puede introducir el código en los archivos siguientes:

  • Ficheros index.php vacíos en las carpetas de plugins, themes, wp-content, uploads, upgrade, languages, raíz, etc
  • Fichero wp-config.php
  • Cualquier fichero PHP que se encuentre
  • Cualquier fichero JS que se encuentre

¡Vale, ya estoy acojonado ¿qué hago?!

Pues manos a la obra. El bicho este se mete en todas partes, así que puede haber plugins infectados, temas, incluso ficheros core de WordPress, por lo que lo mejor es curarse en salud y …

  1. Elimina todo archivo PHP o JS que no sea de tu instalación de WordPress o hayas subido tu, y con ello me refiero a todos, si dudas lo borras … o lo revisas línea a línea, tu mismo.
  2. Carga por FTP una versión limpia de WordPress, sustituyendo los archivos y carpetas actuales por los nuevos
  3. Carga por FTP también una versión limpia del fichero wp-config.php y ponle tus datos de conexión a SQL, como en una instalación nueva
  4. Carga por FTP versiones nuevas de TODOS tus plugins
  5. Carga por FTP una versión limpia de tu tema activo (y cualquier otro que tengas)
  6. Cambia tu contraseña de acceso FTP
  7. Cambia tu contraseña de acceso a WordPress

Parece radical pero en realidad no es un proceso muy largo y así te aseguras de que partes con todo limpio. Juanma, por si te apetece, nos ofrece un modo de limpieza alternativo.

AVISO: esta publicación es de hace dos años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.

Valora este artículo para mejorar la calidad del blog ...

Al hacer una valoración se recoge una cookie con la IP de tu dispositivo

FlojitoNo está malEstá bienMe ha servidoFantástico (3 votos, promedio: 4,33 de 5)
Cargando…

Autor: Fernando Tellado

Fernando Tellado, apasionado de WordPress, profesor, consultor y ponente. Maquero cansino, padre de tres hijos y de una perrita Beagle, Bilbaíno de nacimiento, Español de corazón y ciudadano de donde me quieran. Autor del libro WordPress - La tela de la araña. Mi blog personal es Navegando con red, donde he crecido como escritor en la red y ofrezco mis visiones acerca de la Web 2.0 y la blogosfera.

Comparte esta entrada en
468 ad

Pin It on Pinterest

Share This