¿Cómo comprobar si un sitio web tiene malware?

El malware de un sitio web es código que alguien ha añadido a los archivos o a la base de datos de su sitio. No ataca su propio ordenador como podría hacerlo un adjunto de correo. Actúa sobre sus visitantes: los envía a estafas, muestra avisos falsos, captura lo que escriben en los formularios o usa su sitio para enviar spam.

Comprobarlo lleva unos quince minutos. A continuación tiene cuatro pasos, del más sencillo al más laborioso, y un plan para cuando encuentre algo.

Síntomas que puede detectar sin herramientas

Antes de abrir ninguna herramienta, piense si ha pasado alguna de estas cosas:

• un cliente le dice que al abrir su sitio acabó en un sorteo de premios, en una tienda falsa o en un mensaje que afirmaba que su móvil tenía un virus,
• al buscar en Google site:sudominio.com aparecen páginas que nadie de su empresa creó, como anuncios de pastillas o textos en japonés,
• el navegador muestra un aviso rojo antes de dejar entrar,
• su proveedor de alojamiento suspendió la cuenta o le escribió por archivos maliciosos,
• el correo de su dominio ha empezado a llegar a la carpeta de spam,
• en el panel de WordPress ha aparecido un administrador que usted no reconoce.

No tener síntomas no significa tener un sitio limpio. El código malicioso a menudo solo se muestra a una parte de los visitantes, por ejemplo solo en móviles y solo a quien llega desde Google. Un administrador con la sesión iniciada no suele ver nada. Hay más sobre estas señales en señales de que su sitio web ha sido pirateado.

Paso 1: Google Safe Browsing

Abra la página de estado de sitios de Google Safe Browsing e introduzca su dirección. Google le dice si considera que el sitio no es seguro. Chrome y varios otros navegadores usan la misma lista, así que si su sitio figura en ella, sus clientes ven un aviso.

El límite: la lista solo muestra lo que Google ya ha encontrado. Una infección reciente puede no estar todavía.

Paso 2: Google Search Console

Si tiene Search Console, abra el informe Problemas de seguridad. Google enumera ahí el contenido pirateado (código inyectado, contenido inyectado y URL inyectadas), el software malicioso y las páginas que intentan engañar a los visitantes. Suele dar direcciones de ejemplo, que son por donde empezar a buscar.

Cuando el problema haya desaparecido, se solicita una revisión desde el mismo informe. Cómo funciona se explica en qué hacer cuando Google dice que su sitio es peligroso.

Si no tiene Search Console, pida a quien cuida su sitio que le añada como propietario. Hace falta un registro DNS o un archivo en el servidor, y es gratis.

Paso 3: un análisis desde fuera

Un escáner en línea ve el sitio como lo ve un visitante. Entre sus más de 20 comprobaciones, ShieldWave revisa:

• si el dominio está en listas de amenazas: Google Safe Browsing, URLhaus y listas de bloqueo DNS como Spamhaus,
• si el código de la página de inicio contiene marcos ocultos, redirecciones sospechosas en scripts o código ofuscado ejecutado con eval,
• si la página carga scripts desde direcciones IP sin dominio o desde servidores maliciosos conocidos,
• si en la página funciona un minero de criptomonedas,
• si los formularios envían datos a un servidor ajeno,
• si en el servidor hay archivos que cualquiera puede descargar, como una copia de seguridad del sitio.

El límite: un escáner ve lo que el sitio le envía. El código que solo se muestra a visitantes móviles que llegan desde Google, o una puerta trasera escondida en un archivo PHP sin rastro en la página, pueden quedar invisibles. Para eso está el cuarto paso.

Paso 4: una revisión desde dentro

Los archivos del servidor se pueden revisar de dos maneras. Muchos proveedores de alojamiento tienen un escáner de archivos en su panel de control, normalmente en los ajustes de seguridad. En WordPress, añada un plugin de seguridad que compare sus archivos con las sumas de verificación oficiales de WordPress.org y busque archivos PHP en la carpeta de subidas, administradores nuevos y spam inyectado en las entradas.

Cómo elegir uno se explica en un plugin de seguridad gratuito para WordPress: qué debe revisar.

Cómo llega el malware a un sitio

Saberlo ayuda con la limpieza, porque después hay que cerrar esa misma vía de entrada. En los sitios de pequeñas empresas se repiten cuatro caminos:

• Un plugin o tema desactualizado con una vulnerabilidad conocida. Los bots revisan enormes cantidades de sitios en busca de versiones concretas y entran donde nadie actualizó.
• Una contraseña robada o adivinada. Del panel de WordPress, del FTP o del alojamiento, a menudo una contraseña que también se usa en otro servicio.
• Un plugin o tema de una fuente pirata. Los complementos de pago ofrecidos «gratis» en sitios cualquiera a veces traen una puerta trasera incluida.
• Un vecino en el mismo servidor. En un alojamiento compartido barato, el sitio infectado de otro cliente puede llegar a sus archivos si el servidor está mal configurado.

Corregir los síntomas sin cerrar la vía de entrada suele acabar con el mismo problema a los pocos días.

Qué hacer primero cuando encuentra algo

1. No borre a ciegas. Primero pida a su proveedor de alojamiento o a su desarrollador una copia del sitio tal como está ahora. Ayuda a averiguar qué pasó y desde cuándo.
2. Cambie las contraseñas. Del panel de WordPress, del alojamiento, del FTP, de la base de datos y de los buzones de su dominio. Elimine las cuentas de administrador que no reconozca.
3. Anote lo que ve. Capturas de pantalla, fechas, direcciones de páginas sospechosas, el texto de los correos de los clientes.
4. Avise a su proveedor de alojamiento. A menudo tiene herramientas y registros a los que usted no llega.
5. Piense en la normativa de protección de datos. Si el sitio recoge datos personales, por ejemplo mediante un formulario o una tienda, y esos datos pueden haberse filtrado, el RGPD (artículo 33) le da 72 horas desde que tiene constancia de la brecha para notificarlo a su autoridad de control. Otros países tienen sus propias normas, así que compruebe cuál se le aplica.

Cuándo llamar a un desarrollador

De inmediato si se cumple alguna de estas condiciones:

• el sitio cobra pagos o recoge datos de clientes,
• Google o un navegador está avisando a los visitantes,
• su proveedor de alojamiento ha bloqueado la cuenta,
• el código malicioso vuelve después de borrarlo, lo que suele significar una puerta trasera que nadie ha encontrado todavía,
• no sabe qué archivos se modificaron.

Borrar un solo archivo rara vez basta. Una limpieza típica consiste en restaurar el sitio desde una copia limpia anterior a la infección, actualizarlo todo, cambiar las contraseñas y averiguar cómo entró el atacante. Dé a su desarrollador la lista de síntomas, las fechas y los resultados del análisis. El informe completo de ShieldWave incluye un encargo que puede presupuestar directamente.

Revise su sitio. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni cuenta.