Lunes, 24 de agosto de 2015
Hoy en nuestra campaña #NoHacked, hablaremos sobre cómo solucionar el hackeo de URL con texto batiburrillo inyectado sobre el que escribimos la semana pasada. Incluso si tu sitio no está infectado con este tipo específico de hackeo, muchos de estos pasos pueden ser útiles para solucionar otros tipos de hackeos. Sigue las discusiones en
Twitter
y Google+ utilizando la etiqueta
#NoHacked.
(Parte 1,
Parte 2,
Parte 3,
Parte 4)
Desconecta temporalmente tu sitio web
Poner tu sitio web offline temporalmente evitará que los visitantes accedan a páginas hackeadas y te dará tiempo para arreglar tu sitio adecuadamente. Si mantienes tu sitio en línea, corres el riesgo de ser comprometido nuevamente mientras lo limpias.
Tratamiento de tu sitio web
Los siguientes pasos requieren que te sientas cómodo realizando cambios técnicos en tu sitio. Si no estás lo suficientemente familiarizado o cómodo con tu sitio como para hacer estos cambios, puede ser mejor consultar o contratar a alguien que sí lo esté. Sin embargo, leer estos pasos seguirá siendo útil.
Antes de empezar a arreglar tu sitio, te aconsejamos que hagas una copia de seguridad del mismo. (Esta versión de respaldo seguirá conteniendo contenido hackeado y solo debe usarse si eliminas accidentalmente un archivo crítico). Si no estás seguro de cómo hacer una copia de seguridad de tu sitio, pide ayuda a tu proveedor de alojamiento o consulta la documentación de tu sistema de gestión de contenidos (CMS). A medida que avances en los pasos, cada vez que elimines un archivo, asegúrate de conservar también una copia del mismo.
Comprobación de tu archivo .htaccess
Para manipular tu sitio, este tipo de hackeo crea o altera el contenido de tu archivo
.htaccess .
Si no estás seguro de dónde encontrar tu archivo.htaccess , consulta la documentación de tu servidor o CMS. Revisa el contenido de tu archivo
.htaccess en busca de contenido sospechoso. Si no estás seguro de cómo interpretar el contenido del archivo .htaccess , puedes leer sobre ello en la documentación de Apache.org , preguntar en un foro de ayuda o consultar a un experto. Aquí tienes un ejemplo de un archivo
.htaccess
modificado por este hackeo: Identificación de otros archivos maliciosos
Los tipos de archivos más comunes que son modificados o inyectados por este hackeo son los archivos JavaScript y PHP. Los hackers suelen seguir dos enfoques: el primero es insertar nuevos archivos PHP o JavaScript en tu servidor. Los archivos insertados a veces pueden tener nombres muy similares a los de un archivo legítimo de tu sitio, como
wp-cache.php frente al archivo legítimo wp_cache.php
. El segundo enfoque es alterar archivos legítimos en tu servidor e insertar contenido malicioso en ellos. Por ejemplo, si tienes un archivo JavaScript de plantilla o plugin en tu sitio, los hackers podrían añadir JavaScript malicioso al archivo.Por ejemplo, en
www.example.com se inyectó un archivo malicioso llamado happypuppy.php , identificado anteriormente en el archivo.htaccess , en una carpeta del sitio. Sin embargo, los hackers también corrompieron un archivo JavaScript legítimo llamado json2.js añadiendo código malicioso al archivo. Aquí tienes un ejemplo de un archivo json2.js corrupto. El código malicioso está resaltado en rojo y se ha añadido al final del archivo json2.js : Para rastrear eficazmente los archivos maliciosos, deberás comprender la función de los archivos JavaScript y PHP en tu sitio. Es posible que necesites consultar la documentación de tu CMS para ayudarte. Una vez que sepas qué hacen los archivos, te resultará más fácil localizar los archivos maliciosos que no pertenecen a tu sitio.
Además, comprueba si hay archivos modificados recientemente en tu sitio. Los archivos de plantilla que se hayan modificado recientemente deben investigarse a fondo. En el apéndice puedes encontrar herramientas que te ayudarán a interpretar archivos PHP ofuscados.
Eliminación de contenido malicioso
Como se mencionó anteriormente, haz una copia de seguridad del contenido de tu sitio de forma adecuada antes de eliminar o alterar cualquier archivo. Si realizas copias de seguridad de tu sitio con regularidad, limpiarlo puede ser tan fácil como restaurar una versión limpia de respaldo.
Sin embargo, si no haces copias de seguridad de tu sitio con regularidad, tienes algunas alternativas. Primero, elimina cualquier archivo malicioso que se haya insertado en tu sitio. Por ejemplo, en www.example.com, eliminarías el archivo
happypuppy.php . Para archivos PHP o JavaScript corruptos como json2.js
, tendrás que subir una versión limpia de esos archivos a tu sitio. Si utilizas un CMS, considera recargar una copia limpia de los archivos principales del CMS y de los plugins en tu sitio.Identificación y solución de la vulnerabilidad
Una vez que hayas eliminado el archivo malicioso, querrás rastrear y solucionar la vulnerabilidad que permitió que tu sitio fuera comprometido, o te arriesgarás a que vuelva a ser hackearlo. La vulnerabilidad puede ser cualquier cosa, desde una contraseña robada hasta un software web desactualizado. Consulta
Google Webmaster Hacked Help
para conocer formas de identificar y solucionar la vulnerabilidad. Si no puedes averiguar cómo fue comprometido tu sitio, debes cambiar las contraseñas de todas tus credenciales de inicio de sesión, actualizar todo tu software web y considerar seriamente obtener más ayuda para asegurarte de que todo está bien.
Próximos pasos
Una vez que hayas terminado de limpiar tu sitio, utiliza la herramienta Explorar como Google para comprobar si las páginas hackeadas siguen apareciendo para Google. Necesitarás volver a poner tu sitio en línea para probarlo con Explorar como Google. No olvides comprobar también tu página de inicio en busca de contenido hackificado. Si el contenido hackeado ha desaparecido, ¡felicidades, tu sitio debería estar limpio! Si la herramienta Explorar como Google sigue viendo contenido hackeado en esas páginas hackeadas, aún tienes trabajo por hacer. Vuelve a comprobar si hay archivos PHP o JavaScript maliciosos que puedas haber pasado por alto.
Vuelve a poner tu sitio en línea tan pronto como estés seguro de que está limpio y la vulnerabilidad se ha solucionado. Si hubo una
manual action
frns
en su sitio web, querrá presentar una
solicitud de reconsideración
en Search Console. Piense también en formas de proteger su sitio frente a futuros ataques. Puede leer más sobre cómo asegurar su sitio contra futuros ataques en el
Google Hacked Webmaster Help Center.
Esperamos que esta publicación le haya ayudado a comprender mejor cómo reparar su sitio del hackeo de URL con texto incoherente inyectado. Asegúrese de seguir nuestras campañas en redes sociales y de compartir cualquier consejo o truco que tenga sobre cómo mantenerse seguro en la web con el hashtag #nohacked.
Si tiene alguna pregunta adicional, puede publicarla en los
Webmaster Help Forums
donde una comunidad de webmasters puede ayudarle a responder sus preguntas. También puede unirse a nuestro
Hangout on Air about Security
el 26 de agosto.
Apéndice
Estas son herramientas que pueden resultar útiles. Google no las gestiona ni las admite.
PHP Decoder,
UnPHP: Los hackers suelen distorsionar los archivos PHP para hacerlos más difícil de leer. Utilice estas herramientas para limpiar los archivos PHP y entender mejor qué está haciendo el archivo PHP.
Cómo lo aplicamos
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Servicios relacionados