El reto
Varios sitios web empezaron a mostrar síntomas de infección por malware al mismo tiempo. A primera vista parecían incidentes aislados —un sitio comprometido aquí, otro allá—, pero tenían algo en común: todos estaban alojados con el mismo proveedor de hosting.
El encargo era doble: limpiar cada sitio afectado y, sobre todo, entender qué estaba pasando realmente.
La dificultad
Cuando un sitio WordPress se infecta, lo habitual es buscar la causa dentro del propio sitio: un plugin vulnerable, una contraseña débil, un tema con una puerta abierta. Pero al revisar los sitios afectados, el patrón no encajaba con eso. Sitios distintos, con plugins y configuraciones distintas, comprometidos a la vez. La pista no estaba en cada sitio por separado, sino en lo que compartían.
El origen del problema estaba un nivel por encima de los sitios: en la infraestructura del proveedor de hosting. Un fallo de seguridad en sus servidores había permitido la entrada del malware, que desde ahí alcanzaba los sitios de sus clientes. Identificar eso es clave, porque cambia por completo la respuesta: por muy a fondo que se limpie un sitio, si el problema está en el servidor que lo aloja, la infección puede volver.
Y luego estaba la limpieza en sí. Eliminar un virus de un sitio WordPress no es pasar un antivirus y esperar. Es un trabajo manual y escrupuloso: hay que rastrear el código inyectado, que suele estar disperso, ofuscado y escondido entre archivos legítimos; distinguir lo que es del sitio de lo que ha colado el atacante; y retirar todo el código malicioso sin romper el sitio en el proceso. Un resto que pase desapercibido puede bastar para que la infección rebrote.
La solución
Empezamos por el diagnóstico. Al analizar los sitios afectados detectamos que el origen no estaba en ellos, sino en los servidores del proveedor de hosting, e identificamos el problema de seguridad que estaba permitiendo la entrada del malware. Ese hallazgo orientó todo el trabajo posterior.
A partir de ahí, intervenimos en los sitios afectados de varios clientes. La limpieza la hicimos de forma manual y minuciosa, sitio por sitio: localizando el código inyectado, retirándolo por completo y verificando que no quedaban restos que pudieran reactivar la infección. Un trabajo sin atajos, porque en la limpieza de malware lo que se pasa por alto es exactamente lo que hace que el problema vuelva.
El resultado
Los sitios afectados quedaron limpios y de nuevo operativos. Pero el valor real del trabajo no estuvo solo en la limpieza, sino en haber identificado que la causa estaba en la infraestructura del proveedor y no en cada sitio: sin ese diagnóstico, los sitios se habrían vuelto a infectar una y otra vez.
Es un buen ejemplo de cómo afrontamos los incidentes de seguridad: no nos limitamos a eliminar el síntoma visible, sino que intentamos comprender de dónde viene el problema. A veces, como en este caso, la respuesta no está donde uno esperaría.