La seguridad de WordPress es un asunto serio. La explotación de vulnerabilidades en la arquitectura de WordPress ha llevado a compromisos masivos de servidores a través de la contaminación entre sitios. La extensibilidad de WordPress aumenta su vulnerabilidad; los complementos y los temas contienen lógica defectuosa, lagunas, huevos de Pascua, puertas traseras y una gran cantidad de otros problemas. Encender su computadora para descubrir que está apoyando una causa aleatoria o vendiendo Viagra puede ser devastador.
En el núcleo de WordPress, todos los problemas de seguridad se abordan rápidamente; el equipo de WordPress se enfoca en mantener estrictamente la integridad de la aplicación. Sin embargo, no se puede decir lo mismo de todos los complementos y temas.
Infecciones comunes de malware de WordPress
El enfoque de esta publicación no es agregar a la abrumadora cantidad de publicaciones de seguridad de WordPress o de fortalecimiento de WordPress que ves flotando en la Web. Más bien, proporcionaremos más contexto sobre las cosas de las que necesita protegerse . ¿A qué hacks son particularmente vulnerables los usuarios de WordPress? ¿Cómo entran? ¿Qué le hacen a un sitio web de WordPress? En este extenso artículo, cubriremos las puertas traseras , las descargas no autorizadas , el pirateo farmacéutico y los redireccionamientos maliciosos . Tenga en cuenta que algunas aplicaciones antivirus informan que este artículo es malware, probablemente porque contiene ejemplos del código que debe evitarse. Este artículo no contiene ningún malware en sí, por lo que la alerta debe basarse en un análisis heurístico.
En los últimos dos años, el malware web ha crecido alrededor de un 140 %. Al mismo tiempo, la popularidad de WordPress se ha disparado como plataforma de blogs y CMS, y actualmente funciona cerca del 17 % de los sitios web. Pero esa popularidad tiene un precio; convierte a WordPress en un objetivo para el malware basado en la web. ¿Por qué? Simple: su alcance brinda la oportunidad de un impacto máximo. Claro, la popularidad es algo bueno, pero también nos hace vulnerables a los usuarios de WordPress.
¿Qué hace que WordPress sea vulnerable?
La respuesta es sencilla. Las versiones antiguas de WordPress, junto con las vulnerabilidades de temas y plugins, multiplicadas por la popularidad del CMS, con el usuario final en la mezcla, hacen que un sitio web sea vulnerable.
Vamos a desglosarlo.
El primer problema son las versiones obsoletas de WordPress. Cada vez que se lanza una nueva versión de WordPress, los usuarios reciben un mensaje molesto, pero muchos usuarios han aprendido a ignorar el mensaje. Las vulnerabilidades del núcleo en sí mismas no suelen ser un problema. Existen; prueba de ello son las versiones 3.3.3 y 3.4.1 más recientes. El equipo del núcleo de WordPress se ha vuelto bastante bueno en el despliegue de parches de seguridad de forma rápida y eficiente, por lo que el riesgo de explotación es mínimo, siempre que los usuarios de WordPress actualicen su instalación. Este es, por desgracia, el quid del problema: los usuarios de WordPress ignoran el mensaje. Y no son sólo los usuarios inexpertos y ocasionales de WordPress los que no actualizan. Recientemente se ha pirateado el sitio web de Reuters, que utilizaba la versión 3.1.1 en lugar de la 3.4.1 actual.
Otro problema son las vulnerabilidades en plugins y temas. El repositorio de WordPress tiene 20.000 plugins y sigue creciendo. Los plugins son de calidad variable; algunos de ellos tienen inevitablemente lagunas de seguridad, mientras que otros están obsoletos. Además, hay que tener en cuenta todos los temas y plugins que se encuentran fuera del repositorio, incluidos los productos comerciales que se distribuyen gratuitamente en sitios web de Warez y que vienen repletos de malware. Google es nuestro motor de búsqueda favorito, pero no lo es tanto para encontrar temas de WordPress de calidad.
Luego está la popularidad. WordPress es popular, sin duda. En mayo de este año se registraron alrededor de 700 millones de sitios web que utilizan WordPress. Esta popularidad significa que si un pirata informático puede encontrar la manera de entrar en un sitio web de WordPress, tiene potencialmente millones de sitios web para jugar. No necesitan piratear sitios web que utilicen la versión actual de WordPress; pueden buscar sitios web que utilicen versiones antiguas e inseguras y piratearlos.
Por último, el mayor obstáculo al que se enfrentan los usuarios de WordPress son ellos mismos.
«Por la razón que sea, entre los usuarios de WordPress existe la idea de que la parte más difícil del trabajo es pagar a alguien para que construya el sitio web y que, una vez construido, ya está, no hay que hacer nada más. Quizá fuera así hace siete años, pero no hoy.
La facilidad de uso de WordPress es asombrosa, pero creo que da una falsa sensación de seguridad tanto a los usuarios finales como a los desarrolladores. Sin embargo, creo que esta percepción está empezando a cambiar».
La experiencia me dice que, las vulnerabilidades más comunes a los exploits de sitios web son:
- Software desactualizado,
- Mala gestión de credenciales,
- Mala administración del sistema,
- Servidores malos,
- Falta de conocimiento de la Web.
Un poco de tiempo y educación es todo lo que se necesita para remediar estos problemas y mantener su sitio web WordPress seguro. Esto significa no sólo asegurarse de que usted, como experto en WordPress, está formado, sino también asegurarse de que los clientes a los que entrega sus sitios web también lo están.
Problemas comunes de malware en WordPress
Miles de tipos de malware e infecciones están activos en Internet; afortunadamente, no todos afectan a WordPress. En el resto de este artículo, analizaremos cuatro de los ataques más comunes contra los usuarios de WordPress:
- Puertas traseras,
- Descargas no autorizadas,
- Hackeos farmacéuticos,
- Redirecciones maliciosas
Puertas traseras
Una puerta trasera permite a un atacante acceder a su entorno a través de lo que usted consideraría métodos inusuales: FTP, SFTP, WP-ADMIN, etc. Los hackers pueden acceder a su sitio web utilizando la línea de comandos o incluso utilizando una GUI basada en Web.
Las puertas traseras son excepcionalmente peligrosas. Si no se controlan, las más peligrosas pueden causar estragos en su servidor. A menudo se atribuyen a incidentes de infección entre sitios web, es decir, cuando los sitios web infectan a otros sitios web en el mismo servidor.
Descargas no autorizadas (drive-by download)
Una descarga «drive-by» es el equivalente en la Web a un tiroteo «drive-by». Técnicamente, suele estar incrustado en su sitio web a través de algún tipo de inyección de script, que podría estar asociado con una inyección de enlace.
El objetivo de un drive-by download suele ser descargar una carga útil en la máquina local del usuario. Una de las cargas útiles más comunes informa al usuario de que su sitio web ha sido infectado y que necesita instalar un producto antivirus
Hackeos farmacéuticos (Pharma hack)
El Pharma hack es una de las infecciones más frecuentes. No debe confundirse con malware; en realidad se clasifica como SPAM: «mensajes molestos sin sentido». Si se descubre que distribuyes SPAM, corres el riesgo de que Google te marque con la siguiente alerta:
This site may be compromised!!
Malicious Redirect
Una redirección maliciosa envía al usuario a un sitio web malicioso. En 2010, se detectaron 42.926 nuevos dominios maliciosos. En 2011, esta cifra aumentó a 55.294. Y eso solo incluye los dominios principales, no todos sus subdominios.
Cuando un visitante es redirigido a un sitio web distinto del principal, este puede contener o no una carga maliciosa. Supongamos que tienes un sitio web en myhappysite.com; cuando alguien lo visita, el sitio web podría llevar al visitante a misitio.com/stats.php, donde la carga maliciosa está en el archivo stats.php de ese sitio web. O podría ser un sitio web inofensivo con sólo anuncios y sin carga maliciosa.
Conclusión
Ahí lo tienes: cuatro ataques frecuentes que causan estragos en muchas instalaciones de WordPress hoy en día. Puede que no te sientas mejor si te hackean, pero con suerte, con este poco de conocimiento, te sentirás más seguro de que el hackeo puede ser limpiado y que tu sitio web puede ser devuelto a ti. Lo más importante, si te llevas algo de esto: mantén siempre WordPress actualizado.