SC, el malware de WordPress que se reinstala solo aunque borres los archivos

Qué ha pasado

Los investigadores de Sucuri, empresa especializada en limpiar webs infectadas, han publicado el análisis de una familia de malware para WordPress a la que llaman SC, por las marcas «SC_» que deja en el código. La encontraron en septiembre mientras limpiaban una web en la que la misma puerta trasera volvía a aparecer segundos después de cada borrado. The Hacker News lo recogió el 1 de octubre.

El truco está en que el malware guarda copias de sí mismo en al menos ocho lugares a la vez: un fichero .user.ini que hace que PHP cargue un archivo oculto antes de cada visita, cargadores con nombres aleatorios en wp-content, los ficheros especiales db.php y advanced-cache.php, un bloque añadido al functions.php del tema, un plugin falso llamado «hyper-engine-kit» instalado dos veces (una como plugin «obligatorio», que no aparece en la lista normal), una fila en la base de datos, archivos ZIP y un segmento de memoria compartida del servidor. Basta con que sobreviva una copia para que reconstruya todas las demás, y tareas programadas se encargan de relanzarlo.

Una vez dentro puede crear un administrador oculto, ejecutar código PHP, ocultarse de la lista de plugins, borrar plugins de seguridad e inyectar JavaScript para robar tarjetas en la página de pago. Recibe órdenes a través de la red Ethereum, así que no hay un único servidor que bloquear. Sucuri no ha determinado cómo entra en las webs.

Por qué le importa a tu empresa

Muchas pymes, cuando su web da síntomas raros, hacen lo lógico: borrar el plugin que parece malo o restaurar una copia. Con algo como SC eso no funciona. La web parece limpia un rato y luego vuelve a estar infectada, a veces con un administrador que no ves en el panel y con un robo de tarjetas silencioso si tienes tienda online.

Y si se roban datos de pago o de clientes desde tu web, la brecha es tuya a efectos del RGPD, aunque el fallo empezara en un plugin de terceros.

Mi opinión

No quiero exagerar: esto no significa que todas las webs WordPress estén en peligro inminente. Pero sí confirma algo que llevamos tiempo viendo: limpiar una web comprometida es un trabajo de diagnóstico completo, no de borrar un archivo. Hay que mirar ficheros, base de datos, configuración de PHP y, si hace falta, pedir ayuda al hosting para revisar el servidor.

Mi consejo práctico es que la vigilancia esté fuera de la propia web, porque un malware así desactiva los plugins de seguridad instalados dentro. Y que, tras una limpieza, se cambien todas las contraseñas y se vigile unos días si algo reaparece. En XEVIA, cuando revisamos una web, comprobamos precisamente estos puntos que el panel de WordPress no enseña.

Qué hacer hoy

• Revisa en el panel y, si puedes, directamente en la base de datos, que no haya administradores que no reconozcas.
• Mira la carpeta wp-content/mu-plugins y los ficheros db.php y advanced-cache.php: si no usas un plugin de caché, su presencia es sospechosa.
• Comprueba si hay un .user.ini o una directiva auto_prepend_file que no hayas puesto tú.
• Si encuentras algo, no borres a ciegas: pide a tu hosting o a un especialista una limpieza completa y cambia después todas las credenciales.
• Activa una monitorización de integridad o de cambios que funcione desde fuera de la web.