Una de las mayores dificultades con el malware es su persistencia. Por eso el escáner gratuito de malware (Malware Scanner) analiza cada día todos los sitios de tu cuenta de hosting. Combina herramientas comerciales y propias para generar informes que indican qué contenido malicioso hay y dónde está dentro de los archivos de tu web.
Cuando se detecta malware en un sitio, se desactivan automáticamente el correo PHP (mail()) y los cron jobs. Lo hacemos para proteger la reputación de envío de la plataforma y evitar que los sitios comprometidos envíen grandes volúmenes de spam.
Los análisis diarios se hacen en todos los sitios del sistema, pero solo se escanean los archivos en los que se ha detectado algún cambio. Si no hay cambios, no se vuelve a analizar.
Nota: en esta guía, las «firmas» (signatures) son los nombres que se asignan a cada fragmento de código malicioso detectado en un archivo.
Buenas prácticas ante malware y archivos infectados
- Revisa el informe de malware (Malware Report) del escáner para identificar si hay archivos infectados.
- Limpia y elimina los archivos infectados de tu espacio web.
- Identifica las vulnerabilidades de tu sitio y corrígelas.
Hacer copias de seguridad con regularidad te garantiza un punto de restauración si descubres que tu web tiene archivos comprometidos. Puedes hacerlas manualmente (consulta cómo crear y restaurar copias manuales) o automatizarlas con las copias de seguridad automáticas (Timeline Backups).
Consultar el informe de malware
Para abrir el escáner de un plan de hosting:
- Entra en tu panel de control (Stack HC) y abre el plan de hosting que quieres analizar.
- En la sección Security (seguridad), selecciona Malware Scan.
Desde aquí puedes iniciar un nuevo análisis del sitio, ver el historial de análisis del plan y consultar la lista de archivos marcados como potencialmente dañinos. También verás el número de archivos infectados y la hora del último análisis; con View Report accedes al informe detallado con la lista completa de archivos infectados.
Si el análisis no encuentra nada, verás esta pantalla:
Si encuentra archivos potencialmente dañinos o signos de infección, verás esta otra:
Si se detectan archivos infectados en el plan, también añadimos un aviso en la parte superior de la pantalla del plan de hosting.
Los archivos detectados como malware también aparecen marcados en el File Manager (gestor de archivos), para que puedas localizarlos y revisarlos fácilmente.
Nota: las infecciones marcadas en rojo indican que el archivo puede suponer un riesgo para el sitio. También existe un estado de advertencia en amarillo, que indica que las firmas encontradas probablemente no suponen un riesgo alto: por ejemplo, archivos de registro (log), archivos SQL y copias en
.zip. El amarillo es solo informativo y no afecta al envío de correo.
Para recibir un aviso cuando se descubra malware nuevo, marca la casilla Receive Daily Email Alerts? (recibir alertas diarias por correo). Se enviará un correo cuando se detecte malware nuevo. Puedes crear un buzón específico para recibir estas alertas.
Limpiar y eliminar archivos infectados
En la mayoría de los casos, la mejor forma de resolver un problema de contenido malicioso es eliminar los archivos comprometidos y sustituirlos por versiones de una descarga limpia y conocida. Es decir, vuelve a descargar el software y reemplaza solo los archivos infectados de la instalación original.
Si los archivos no son necesarios, también puedes eliminarlos por completo.
A veces el atacante solo ha «inyectado» su script en la primera o la última línea de un archivo. En ocasiones es muy evidente y basta con eliminar el script malicioso.
Haz esto con todos los archivos que haya encontrado el escáner.
Otras medidas que puedes tomar
- Elimina los plugins y aplicaciones innecesarios o sin uso. Así reduces las posibles vulnerabilidades y simplificas el mantenimiento del sitio.
- Mantén siempre actualizados los plugins que uses. Las versiones antiguas tienen muchas más probabilidades de tener vulnerabilidades que lleven a sitios comprometidos.
- Conviene cambiar contraseñas como la de la base de datos y la de FTP.
Nota: después de cambiar las contraseñas, no olvides actualizar los archivos de configuración, como
wp-config.php.
Volver a escanear el sitio
Puedes volver a analizar el sitio cuando quieras. Cuando creas que has eliminado el malware, vuelve al Malware Scan y selecciona Scan again (escanear de nuevo).
Si se han eliminado todos los archivos infectados, el correo PHP y los cron jobs se reactivan automáticamente y no se mostrarán archivos infectados. El escáner seguirá haciendo análisis diarios de todos tus sitios para que siempre sepas si alguno se ha visto comprometido.