WordPress: Limpiar un hackeo

Es posible que te hayan infectado, hackeado. Cualquiera de estas opciones es factible si tu sitio tiene un problema de seguridad por falta de actualización o por disponer activado o no una plantilla o plugin que ha sido mal desarrollado.

Antes que nada: Haz una copia de seguridad o respaldo/backup desde el panel de control de tu dominio.
Podrás crear tu copia de seguridad siguiendo estos pasos:
https://ayuda.sitioshispanos.com/menu-principal/guias/web-hosting/copias-de-seguridad

Ahora si, comencemos. Uno de los primeros pasos es el de bloquear el acceso a todo el mundo para que no pueda acceder. Puedes cerrar el sitio web (ponerla en modo mantenimiento); o directamente “romper” el dominio renombrado la carpeta donde está instalada la web (En cPanel, dicha carpeta se llama /public_html; por dar un ejemplo).

Una vez has cerrado el acceso, lo siguiente es proceder a cambiar las principales contraseñas del sitio. Es necesario modificar las passwords de todos los administradores del WordPress y las del alojamiento / FTP, e incluso la de la base de datos.

Una vez hemos hecho esto, lo siguiente es reinstalar WordPress.

Aunque restaures los archivos de WordPress, seguramente te los volverán a modificar al día siguiente si no se ataca el problema de la raíz: ¿Por dónde han entrado?

Mucha gente se piensa que solo subiendo todo de nuevo, sobrescribiendo los archivos, resolverá el problema. No sirve solo subir todo de nuevo sobrescribiendo los archivos. Seguro que volverás a tener problemas en breve.

En primer lugar, y es importante. En el momento es que comenzó a pasar todo, ¿Tenias plugins, WordPress o el theme sin actualizar? Esto nos indicará si es un problema de descuido de la instalación.

Una cosa que puede suceder, es que “limpies” WordPress, pero ni los plugins, ni el theme, ni otros directorios de WordPress.

Lo que se tienes que hacer para limpiar una instalación de forma correcta y por este orden es:

En los ordenadores que acceden vía FTP al servidor:

1 – Pasa un buen antivirus para asegurarte que no tengas ningún troyano. Es importante saber que la computadora por la que se accede al sitio.

2 – Si usas FileZilla, actualiza a la última versión para tener las contraseñas encriptadas, no en texto plano como las tienen las antiguas versiones. Has lo mismo con cualquier otro cliente FTP que uses.

Pasar antivirus también en ordenadores que tienen acceso a la administración de WordPress.

Consigue copias limpias de todos los plugins que utilices y en sus últimas versiones.En el servidor o en el panel de control del sitio:

1 – Cambia las contraseñas del FTP. Asegurarse que sean seguras. Sobre todo, hazlo después de haberte asegurado que tu ordenador no tiene ningún tipo de infección, o te las volverá a capturar el posible troyano.
Las configuraciones FTP las podrás ver en esta guía:
https://ayuda.sitioshispanos.com/menu-principal/guias/web-hosting/sesiones-ftp

En WordPress:

• Consigue copias limpias del Themes si no las tienes ya.
• Consigue copias limpias de todos los plugins que utilices y en sus últimas versiones.
• Descárgate todo el directorio uploads de WordPress a tu ordenador. Si usas plugins que creen directorios dentro de wp-content para subir archivos, descárgalo también. Hay plugins que crean directorios propios principalmente para subir imágenes. Pero ten cuidado, estate seguro que ese directorio es legítimo, no vayas a descargarte para su posterior subida el directorio que ha creado el hackeo.
• Descárgate la base de datos a tu ordenador. Puedes usar el gestor de bases de datos que ofrece nuestro servicio de hosting, por regla general será phpMyAdmin.
• Ve a los usuarios de WordPress, y mira que no haya ninguno que no debiera estar ahí. Si hay algún usuario que no debiera estar, bórralo.
• Ve a la base de datos, y mira la tabla {prefijo}_users que no haya ninguno que no debiera estar ahí. Si lo hubiera, apunta el ID de usuario y elimínalo. TEN CUIDADO, PRESUPONGO QUE REALIZASTE UNA COPIA DE LA BASE DE DATOS TAL Y COMO TE HE DICHO EN UN PUNTO ANTERIOR.
  
• En el caso en que hubiera algún usuario que no debía estar en {prefijo}_users ve a la tabla {prefijo}_usersmeta y busca todos los metadatos del ID de los usuarios que has eliminado y eliminalos todos.
• Copia a tu ordenador el archivo wp-config.php.
• Una vez copiado, ábrelo y mira que no haya nada que no debiera estar ahí. Si lo hubiera, bórralo.
• Pasa el antivirus por el directorio uploads que te has descargado. Por regla general los antivirus detectan malware, uploaders, etc. Si te has descargado otros directorios de otros plugins, revísalos igualmente con el antivirus.
• Entra uno a uno en todos los directorios dentro de uploads y de los otros directorios creados por otros plugins y mira que no haya nada que no debería estar ahí, como archivos php, exe, ISO, etc. Si hay archivos index.php, ábrelos y mira que no haya nada raro.
• Borra TODO lo que hay en la web. ¿Todo?. Si, TODO. Pero ten en cuenta que debes ya haber copiado wp-config.php, el directorio uploads, los otros directorios creados por plugins, si los hubieran, a tu ordenador. TEN CUIDADO, hablo de todo lo relacionado con WordPress. Si tuvieras cosas que no pertenecen a WordPress (otros directorios, otros CMS, etc..) no los borres, pero tendrás que revisarlos también por si están entrando por ahí.
• Sube una copia limpia de WordPress.
• Sube el directorio uploads ya comprobado y limpio y los otros directorios creados por plugins si existieran, igualmente revisados y limpios.
• Sube una copia limpia de todos los plugins que usas en tu sitio.
• Sube el theme limpio.
• Sube el archivo wp-config.php (ya comprobado).
• Entra en la administración de WordPress y guarda de nuevo los enlaces permanentes para que te cree un .htaccess nuevo.
• Que todos los usuarios cambien sus contraseñas, por si han sido capturadas por algún script. Si esto no se puede hacer inmediatamente, cambia tu directamente las contraseñas apretando en la edición de cada usuario en restablecer contraseña, WordPress generará contraseñas nueva y seguras.

Permisos de archivos y directorios en el servidor

Este apartado es uno de los más importantes. Podemos tener todo actualizado y sin vulnerabilidades, pero si aplicamos permisos incorrecto desde el punto de vista de la seguridad a los archivos y directorios, estamos dejando el campo abierto a los hackeos.

¿Alguna vez has tenido que dar un permiso 777 a un directorio o archivo? si es así, tienes un gran problema. El dar permisos 777 es como dejarse la ventana o la puerta abierta en tu casa, con la diferencia que los hackers saben por regla general que esa ventana o puerta será el directorio /wp-content/uploads o /wp-content/cache, etc.

Asegúrate que todos los permisos para directorios sean 755 y para los archivos 644; a excepción, si quieres, del archivo wp-config.php que se le puede dar permisos 440, pero no es obligatorio.

Esperamos que esta guía haya sido de ayuda.

Como has podido ver, te pueden estar entrando de varias formas.

1. Tienen acceso al FTP
2. Tienen contraseñas de usuarios con permisos
3. El theme está modificado
4. Plugins modificados con vulnerabilidades
5. Archivos que te hayan subido por vulnerabilidad.
6. Permisos erróneos o peligrosos en archivos o directorio (777)
7. Marcado el «Recordarme» en el formulario de identificación y posterior captura de la cookie del navegador.

Por último, les recordamos:

Reglas básica de seguridad:

• Tener siempre TODO actualizado a la última versión. El dejar algo sin actualizar, puede significar el dejar una puerta abierta a los hackers.
• Nunca escribir con un usuario con rol de administrador, hacerlo significa que el hacker puede saber el nombre de usuario del administrador. Si ya los has hecho, crea un nuevo usuario con rol administrador, accede mediante este nuevo usuario, y degrada a Editor el que estabas utilizando hasta ahora.
• Utilizar siempre contraseñas seguras. Cuanto más larga, mejor. Por regla general, si la contraseña la puedes recordar, es que no es lo suficientemente fuerte. La forma más sencilla de solucionar este problema, es la utilización de gestores de contraseñas, y no hablo de los que incluyen los navegadores, si no de software adquirido como podría ser LastPass (https://www.lastpass.com/es).
• Nunca dar permisos 777 a un directorio o archivo.
• Nunca utilizar la misma contraseña en dos sitios diferentes. Si se hacen con tu usuario y contraseña, tendrían acceso absolutamente a todos tus sitios.
• Nunca, nunca te conectes a una WIFI gratuita si no estás utilizando un VPN. El hacerlo puede significar que un hacker esté capturando todo lo que haces consiguiendo todas tus contraseñas. Y mucho menos accedas a tu WordPress a menos que uses el VPN o tu sitios esté bajo cifrado (HTTPS/TLS).
• Realizar backups de manera semanal de tu sitio. Esto hará que en caso de un problema, sea del tipo que sea, se pueda restaurar la web de forma rápida.
• Y por supuesto, nunca, nunca, nunca, descargarse themes o plugins de sitios desconocidos.