Mi sitio WordPress fue hackeado, signos de infección

Todos estamos propensos a sufrir una infección en nuestro sitio web, ya sea que esté construido con WordPress o con cualquier otro CMS, me centro en WordPress pues es la plataforma más popular, domina mercados como lo son el eCommerce, por lo que su cuota actualmente es del 33% de todos los sitios de Internet y un 60% de los CMS del mercado.

Es de mencionar que hay dos versiones de WordPress, una gratuita que tiene su propio constructor, y de la cual no hay nada que se destaque, y la segunda que es una plataforma para desarrolladores, que se ha convertido prácticamente en el Lego de los programadores web.

Ahora bien, vamos a lo bueno, síntomas de que tu sitio fue evidentemente hackeado:

La portada de tu sitio cambió

A esto le podemos nombrar un clásico defacement, o la técnica de cambiar los sitios web a una “página en que se explica que fue hackeada”, es la técnica más común entre los hackers que están estudiando o están haciendo méritos entre la comunidad.

Este tipo de ataques tiene muchas variantes, el atacante puede incluso llegar a pedir un rescate en metálico por devolver el sitio a su estado original.

Puedes verificar si tu sitio fue hackeado en el siguiente sitio web: http://www.zone-h.org/ donde los hackers publican sus trofeos.

Tu sitio es lento

Es posible que tu sitio web esté lento por un ataque de fuerza bruta o mucho peor por la ejecución de código en tu servidor, este podría estar haciendo una infinidad de procesos, por ejemplo, enviar spam, minar criptomonedas, etc

Tu sitio redirecciona a sitios extranjeros o de temas completamente diferentes

Sin aviso tu sitio lleva a algún otro que no tiene relación en lo absoluto, un sitio de apuestas, un sitio en china, un sitio de compras en EUA.

Tu sitio tiene popups maliciosos o de spam

Si en algún momento has notado que tu sitio está mostrando publicidad que no has puesto es posible que tu sitio esté infectado, hay muchas variantes de este ataque pero las más comunes son los popups que bloquean completamente la vista de tu sitio web.

Tu tráfico web a caído drásticamente

Si tu sitio tiene malware es posible que Google lo haya marcado como un sitio inseguro y no permitirá el acceso a tu web desde su buscador o desde Chrome.

Tendrás que notificar a Google cuando tu sitio no sea inseguro, esto tarda bastante tiempo y revisión de la plataforma, por lo que lo ideal es que actúes rápidamente ante cualquier síntoma.

Algunos archivos han cambiado

Los archivos de tu sitio web suelen tener la misma fecha de creación y en un CMS de modifican varios al mismo tiempo, pero no aleatoriamente, es decir si detectas que un archivo de tu tema en WordPress tiene una fecha de modificación distinta al resto y en el interior de este encuentras código que pertenece a tu web, entonces indudablemente tienes hackeado el sitio

Esto pasa muy frecuentemente en plugins y temas desactualizados.

Tienes nuevos usuarios o administradores

Probablemente han modificado tu base de datos o te han crackeado la contraseña de administrador, esto pasa cuando tenemos versiones antiguas de mysql o usamos el usuario admin por default, ninguno de los dos se recomienda en ambientes de producción, es decir, cuando la página o plataforma ya está disponible a los usuarios en general.

Siendo administrador un atacante puede hacer lo que le plazca con la instalación de WordPress como instalar ads o malware.

Tus usuarios de administración han sido eliminados

En este caso, has perdido el control de tu sitio web y un atacante te elimino el rol de administrador para poder tener el control sin que lo elimines o quites lo que se instaló.

Lo ideal es recuperar el control desde la base de datos, y revisar los cambios que han hecho desde el log.

Si has experimentado alguno de estos síntomas deberás de actuar rápidamente para no generar más problemas en tu sitio web y en tu reputación. No olvides generar tu plan de respuesta ante incidentes.

Si necesitas ayuda, o te han hackeado el sitio web no dudes en contactarme, estoy seguro de que te puedo ayudar.