Escribe su propia dirección y, en lugar de su página de inicio, termina en una turbia tienda de pastillas, una falsa página de premios o un sitio del que nunca oyó hablar. Si su sitio WordPress redirige a spam o a otro sitio web, es alarmante — y es una de las señales más claras que existen de que hackearon el sitio. Respire. Es un ataque común y bien estudiado y, cuando sabe dónde se esconde la redirección inyectada, puede encontrarla y sacarla. Esta guía explica qué la causa, dónde mirar exactamente, cómo eliminarla y cómo evitar que vuelva.
Qué es de verdad una redirección por hackeo
Una redirección maliciosa es un trozo de código que un atacante planta en su sitio y que manda a los visitantes a otra parte — normalmente a una página de spam, de estafa o de malware de la que saca provecho. Es uno de los hackeos de WordPress más comunes porque convierte su tráfico directamente en dinero.
Lo frustrante es lo escurridizas que son estas redirecciones. Muchas veces son condicionales: solo se activan para los visitantes que llegan desde Google, solo en los teléfonos, solo para quienes no han visitado antes o solo una vez por persona. Es a propósito. Significa que usted, el dueño — con la sesión iniciada, en su computadora, entrando directamente — puede que no vea nada raro, mientras a cada visitante nuevo que llega desde la búsqueda lo mandan al spam. Así que la primera regla es: créales a sus visitantes y a sus estadísticas, no solo a lo que ve cuando carga el sitio. Las otras señales de un hackeo están en cómo saber si hackearon su sitio WordPress y, si Google empezó a etiquetar su sitio por ello, eso se relaciona con “es posible que este sitio haya sido hackeado” en los resultados de búsqueda.
Dónde se esconde la redirección inyectada
El malware de redirección vive en un puñado de lugares previsibles. Revíselos en este orden:
- El archivo
.htaccess(un archivo de ajustes del servidor). El escondite clásico. Los atacantes agregan reglas de reescritura que mandan el tráfico a otra parte sin hacer ruido. Busque líneas de redirección o de reescritura que usted no escribió — muchas veces están enterradas debajo de muchas líneas en blanco para sacarlas de la vista. - Los propios archivos de WordPress y los archivos de código de su tema. Sobre todo
index.php,wp-config.php(el archivo principal de configuración de WordPress),functions.phpy la cabecera del tema. Busque código ofuscado — largas cadenas sin sentido,base64_decode,evaly cosas parecidas — cerca del principio del archivo. - La base de datos. Las redirecciones se inyectan a menudo en la tabla
wp_options(los valoressiteurlyhome, o scripts inyectados) y enwp_posts, como contenido agregado al final de las páginas. Es el lugar que más a menudo se les escapa a las limpiezas por su cuenta. - Plugins intrusos o “mu-plugins”. Los atacantes dejan un pequeño plugin malicioso, o un archivo en la carpeta
mu-pluginsque se carga automáticamente, para volver a inyectar la redirección después de que limpie los archivos obvios. - JavaScript inyectado. Algunas redirecciones funcionan en el navegador del visitante desde un script agregado a sus páginas o traído desde el servidor de un atacante.
Cómo eliminarla — y que no vuelva
1. Primero haga una copia de seguridad del sitio tal como está
Antes de editar nada, haga una copia de seguridad completa del sitio en su estado actual. Si un paso de la limpieza rompe algo, puede volver. Etiquétela claramente como infectada para que nunca se restaure por accidente.
2. Quite la redirección de cada lugar donde vive
Recorra la lista de arriba y quite el código inyectado: limpie el .htaccess, reemplace los archivos de WordPress manipulados por copias nuevas de WordPress.org, vuelva a instalar el tema desde una fuente limpia, quite las filas inyectadas de la base de datos y borre cualquier plugin intruso o archivo de mu-plugins. Lo más importante aquí es no parar en la primera que encuentre. Los atacantes plantan la redirección en varios lugares y dejan una puerta trasera para que se vuelva a inyectar minutos después de que limpie — y justo por eso tanta gente limpia una redirección, lo celebra y la ve volver ese mismo día. Toda la secuencia, con cuidado, está en cómo arreglar un sitio WordPress hackeado.
3. Cierre el agujero y protéjalo
Limpiar la redirección arregla el hoy; cerrar el agujero arregla el mañana. Actualice WordPress, todos los plugins y todos los temas; borre todo lo que no use; cambie todas las contraseñas — de administrador, del hosting, de la base de datos, del acceso a archivos (FTP/SFTP); vuelva a generar sus claves y sales de seguridad para cortar cualquier sesión robada; y active una protección fuerte del inicio de sesión. Si después de todo eso la redirección sigue volviendo, significa que todavía hay una puerta trasera escondida en algún lado — y ese es el punto en el que una limpieza profesional justifica su costo. Analizamos esa decisión con honestidad en eliminar malware de WordPress: por su cuenta o con profesionales.
Cómo lo maneja SolutionHippo
Seremos claros sobre dónde encajamos. Este es el caso del que nuestro hosting administrado está hecho para mantenerlo alejado desde el principio. La búsqueda de malware es parte del cuidado que viene incluido en todos los planes — no es un extra ni una cuota aparte — así que una redirección inyectada suele detectarse y eliminarse pronto, antes de que sean sus visitantes quienes la descubran. Es prevención, no una garantía: nuestra búsqueda está pensada para detectarla antes de que se extienda, con un buen respaldo: un firewall fuerte frena pronto el tráfico malicioso, la protección contra contraseñas filtradas mantiene fuera los accesos robados y las copias de seguridad externas 3 veces al día significan que incluso un mal día es solo una restauración. Después de cualquier cambio, verificamos que el sitio se siga viendo y funcionando bien — para los visitantes reales, no solo para un administrador con la sesión iniciada.
¿Y si su sitio está redirigiendo a spam ahora mismo? Es un trabajo que hacemos para los sitios que alojamos, así que la oferta es sencilla: mude su sitio con nosotros, y lo limpiamos como parte de la mudanza y lo mantenemos limpio. Hemos rastreado redirecciones inyectadas en archivos, bases de datos y .htaccess, arrancado cada copia, encontrado la puerta trasera que las volvía a inyectar y cerrado el agujero que usó el atacante. No le vamos a entregar una redirección que vuelva mañana.
¿Está viendo ahora mismo cómo su sitio manda a los visitantes al spam? No se va a ir sola. Mude su sitio con nosotros: lo limpiamos como parte de la mudanza y lo mantenemos limpio. Empezar mi mudanza — su mudanza empieza en cuanto se registra. Encontraremos la redirección, quitaremos cada copia, cerraremos la puerta detrás de ella y verificaremos que desapareció para los visitantes reales. Precio fijo de $29.99 al mes por un sitio administrado, o desde $39.99 por una tienda, con la protección incluida — sin medidores y sin sorpresas.