Casos de estudio: Cómo solucionar sitios web hackeados

Miércoles, 18 de febrero de 2015

Todos los días, miles de sitios web son hackeados. Los sitios hackeados pueden dañar a los usuarios distribuyendo software malicioso, recopilando información personal o redirigiéndolos a sitios que no pretendían visitar. Los webmasters quieren solucionar los sitios hackeados rápidamente, pero desgraciadamente la recuperación de un hackeo puede ser un proceso complicado.

Intentamos que el proceso de recuperación de un hackeo sea más fácil para los webmasters con funciones como
Problemas de seguridad,
Ayuda para sitios hackeados, y
una sección de nuestro foro exclusiva para sitios hackeados. Recientemente hablamos con dos webmasters cuyos sitios habían sido hackeados para saber más sobre cómo lograron solucionarlos. Compartimos sus historias con la esperanza de que puedan aportar ideas a otros webmasters que hayan sido víctimas de hackeos. También utilizamos estas historias y otros comentarios para mejorar nuestra documentación sobre sitios hackeados y hacer que el proceso sea más fácil para todos en el futuro.

Caso de estudio n.º 1: Sitio web de un restaurante con múltiples scripts inyectados por hackers

El sitio web de un restaurante que utilizaba WordPress recibió un mensaje de Google en su cuenta de Webmaster Tools alertándoles de que su sitio había sido alterado por hackers. Para proteger a los usuarios de Google, el sitio fue etiquetado como hackearlo en los resultados de búsqueda de Google. El webmaster del sitio, Sam, examinó el código fuente y observó muchos enlaces desconocidos en el sitio con términos farmacéuticos como “viagra” y “cialis”. También observó muchas páginas en las que las etiquetas de meta descripción (en el HTML) habían añadido contenido como “comprar valtrex en florida”. También había etiquetas div
ocultas (también en el HTML) en muchas páginas que enlazaban a numerosos sitios. Ninguno de estos enlaces fue añadido por Sam.

Sam eliminó todo el contenido hackeado que encontró y envió una solicitud de reconsideración. La solicitud fue rechazada, pero en el mensaje que recibió de Google se le aconsejó que comprobara si había algún script desconocido en los archivos PHP (o cualquier otro archivo del servidor), así como cambios en el archivo
.htaccess
. Es probable que estos archivos contengan scripts añadidos por los hackers que modifican el sitio. Estos scripts suelen mostrar el contenido hackeado únicamente a los motores de búsqueda, mientras ocultan el contenido a un usuario normal. Sam revisó todos los archivos .php y los comparó con las copias limpias que tenía en su copia de seguridad. Encontró contenido nuevo añadido a sus archivos footer.php,
index.php, y functions.php. Cuando reemplazó esos archivos con las copias de seguridad limpias, ya no pudo encontrar ningún contenido hackeado en su sitio. Cuando envió otra solicitud de reconsideración, recibió una respuesta de Google notificándole que su sitio ya no tenía contenido hackeado.

Aunque Sam había limpiado el contenido hackeado de su sitio, sabía que tendría que seguir
protegiendo su sitio
contra futuros ataques. Siguió los pasos a continuación para mantener su sitio seguro en el futuro:

• Mantenga el CMS (sistema de gestión de contenidos como WordPress, Joomla, Drupal, etc.) actualizado con la versión más reciente. Asegúrese de que los complementos también estén actualizados.
• Asegúrese de que la cuenta utilizada para acceder a las funciones administrativas del CMS utilice una contraseña segura y única.
• Si el CMS lo admite, active
  la verificación en 2 pasos
  para iniciar sesión. (Esto también puede llamarse autenticación de dos factores o autenticación de dos pasos). Esto también se recomienda para la cuenta utilizada para la recuperación de contraseñas. ¡La mayoría de los proveedores de correo electrónico, como
  Google,
  Microsoft,
  Yahoo!
  admiten esto!
• Asegúrese de que los complementos y temas instalados provengan de una fuente confiable; ¡los complementos o temas pirateados a menudo pueden contener código que facilita aún más la entrada a los hackers!

Caso de estudio n.º 2: Sitio web profesional con muchas páginas hackeadas difíciles de encontrar

Una propietaria de una pequeña empresa llamada Maria, que también gestiona su propio sitio web, recibió un mensaje en sus Webmaster Tools indicando que su sitio había sido hackeado. El mensaje proporcionaba un ejemplo de una página añadida por los hackers: https://example.com/where-to-buy-cialis-over-the-counter/. Habló con su proveedor de hosting, quien examinó el código fuente de la página de inicio pero no pudo encontrar ninguna palabra clave farmacéutica. Cuando el proveedor de hosting visitó
https://example.com/where-to-buy-cialis-over-the-counter/, devolvió una página de error. Maria también compró un servicio de análisis de malware, pero el servicio no pudo encontrar ningún contenido malicioso en su sitio.

Maria fue entonces a Webmaster Tools y utilizó la herramienta Explorar como Google en la URL de ejemplo que Google le había proporcionado (https://example.com/where-to-buy-cialis-over-the-counter/), la cual no devolvió ningún contenido. Confundida, envió una solicitud de reconsideración y recibió un mensaje de rechazo que le aconsejaba hacer dos cosas:

1. Verifique la versión sin www de su sitio, ya que los hackers a menudo intentan ocultar contenido en carpetas que el webmaster puede pasar por alto.

   Aunque pueda parecer que https://example.com y https://www.example.com
   son el mismo sitio, Google en realidad los trata como sitios diferentes.
   https://example.com se conoce como el “dominio raíz”, mientras que
   https://www.example.com se llama subdominio. Maria tenía
   https://www.example.com verificado pero no https://example.com verificado, lo cual es importante porque las páginas añadidas por los hackers eran páginas sin www como
   https://example.com/where-to-buy-cialis-over-the-counter/. Una vez que verificó
   https://example.com , pudo ver con éxito el contenido hackeado en la URL proporcionada con la herramienta Explorar como Google en Webmaster Tools.

2. Compruebe si hay nuevas reglas en su archivo .htaccess .

   Maria habló con su proveedor de hosting, quien le mostró cómo acceder a su archivo .htaccess
   . Notó de inmediato que su archivo .htaccess tenía contenido extraño que ella no había añadido:

   La regla
   mod_rewrite
   que ve arriba fue insertada por el hacker y redirige a cualquier persona que provenga de ciertos motores de búsqueda, así como a los rastreadores de los motores de búsqueda, a main.php, que genera todo el contenido hackeado. También es posible que estas reglas puedan redirigir a los usuarios que acceden al sitio en un dispositivo móvil. El mismo día, también vio que un análisis de malware reciente encontró contenido sospechoso en el archivo main.php . Además de eso, también notó un usuario desconocido en el área de usuarios de FTP de su software de desarrollo de sitios web.

Eliminó el archivo main.php diller parcalar archivo, y se eliminó al usuario desconocido de su área de usuarios de FTP y su sitio web ya no fue pirateado.

Pasos para evitar ser pirateado en el futuro

• Evite usar FTP al transferir archivos a sus servidores. El FTP no cifra ningún tráfico, incluidas las contraseñas. En su lugar, utilice SFTP, que cifrará todo, incluida su contraseña, como protección contra fisgones que examinan el tráfico de la red.
• Verifique los permisos en archivos sensibles como .htaccess. Su proveedor de alojamiento puede ayudarle si necesita asistencia. .htaccess El archivo se puede utilizar para mejorar y proteger su sitio, pero también se puede utilizar para ataques maliciosos si logran obtener acceso a él.
• Sea diligente y busque usuarios nuevos y desconocidos en su panel de administración y cualquier otro lugar donde pueda haber usuarios que puedan modificar su sitio.

Esperamos que su sitio nunca sea pirateado, pero si lo es, tenemos muchos recursos para webmasters pirateados en nuestra
Página de ayuda para sitios pirateados. Si necesita más ayuda o desea compartir sus propios consejos, puede publicar en nuestro
Foro de ayuda para webmasters. Si publica en el foro o envía una solicitud de reconsideración para su sitio, incluya
#NoHacked.

Publicado por Julian Prentice y Yuan Niu, Equipo de Calidad de Búsqueda