En resumen: si Google, su navegador, su proveedor de hosting o un cliente advierten sobre su sitio web, es muy probable que en su servidor se esté ejecutando código ajeno. Si le afecta, póngase en contacto ahora. Aclaramos en remoto qué se está entregando, aseguramos los rastros, eliminamos el código malicioso, cerramos el acceso y le acompañamos hasta que se vuelva a autorizar el sitio.
No borre nada ahora y no reinstale nada. Si es necesario, ponga el sitio en modo de mantenimiento para proteger a los visitantes y deje los archivos y los registros sin modificar. Comunique la emergencia y nos hacemos cargo desde el primer mensaje.
¿Le afecta? Así se manifiesta un sitio web que difunde malware
Un sitio web que difunde software malicioso o spam rara vez llama la atención por un defecto visible. Normalmente avisan primero otros. Indicios típicos:
- El navegador muestra delante de su dominio una página de advertencia roja, por ejemplo «Deceptive site ahead» o un aviso sobre software dañino.
- En Google Search Console hay un mensaje de seguridad, o su página aparece en los resultados de búsqueda con la nota «Este sitio puede dañar tu ordenador».
- Los visitantes informan de ventanas emergentes, redirecciones inesperadas o descargas que solo aparecen en dispositivos móviles o solo tras un clic desde el buscador.
- Sus resultados de búsqueda muestran páginas que usted nunca creó, por ejemplo publicidad de medicamentos o de juegos de azar en otro idioma.
- Su proveedor de hosting escribe por abuso, envío de spam o conexiones salientes llamativas.
- Los correos de su empresa acaban en el spam del destinatario, o vuelven muchos errores de entrega.
- Su antivirus no informa de nada, pero las quejas no cesan.
Varios de estos puntos juntos apuntan con fuerza a un compromiso. Un solo indicio puede tener también una causa inofensiva. Aun así debería hacerlo revisar, porque cada día con una página de advertencia cuesta visitantes, solicitudes y confianza.
Qué hacer ahora mismo
- Proteger a los visitantes: ponga el sitio web en modo de mantenimiento o pida al proveedor de hosting que lo bloquee temporalmente si se está entregando código malicioso de forma activa.
- No borrar nada: ni eliminar archivos, ni restaurar copias de seguridad, ni reinstalar sobre el estado anterior antes de haber asegurado las pruebas.
- Conservar los registros: pida a su proveedor de hosting que no sobrescriba los registros de acceso y de errores.
- Reunir los avisos: haga capturas de pantalla de las advertencias, anote fecha, hora y direcciones afectadas.
- Nombrar los accesos: ¿quién tiene acceso por el CMS, FTP, SSH o el panel de hosting? Cambie las contraseñas solo tras consultarnos y solo desde un dispositivo limpio.
- Informar internamente: la dirección, el delegado de protección de datos y, si hay póliza, la aseguradora deberían estar al corriente.
- No presentar todavía la solicitud a Google: una revisión solo sirve después de la limpieza.
¿Cómo ayuda PHP SOS en concreto?
- Evaluar la situación: aclaramos qué avisos hay, desde cuándo y qué sistemas y datos pueden estar afectados.
- Asegurar y cerrar: aseguramos archivos, base de datos y registros antes de modificar nada. Después bloqueamos los accesos sospechosos y detenemos la entrega del código malicioso.
- Revisar y limpiar: cotejamos los archivos con un estado limpio, buscamos webshells, puertas traseras y entradas en la base de datos y las eliminamos. Más información en Eliminación de malware y webshells.
- Reforzar e informar: cerramos la puerta de entrada, revisamos el estado de PHP y documentamos el incidente. Le acompañamos en el levantamiento de bloqueos y advertencias.
Trabajamos en remoto, sin desplazamientos, en toda Europa.
Por qué la advertencia suele volver
Quien elimina solo los rastros visibles trata el síntoma. Los atacantes suelen crear varios accesos: un archivo PHP oculto en una carpeta de subida, un plugin manipulado, una cuenta de administrador adicional o una tarea cron programada que vuelve a descargar los archivos borrados. Si solo ordena la página que muestra el navegador, pocos días después vuelve a estar el mismo código malicioso.
A ello se suma que muchos programas maliciosos camuflan su comportamiento. Entregan el código malicioso solo a los visitantes que llegan desde un buscador, o solo a dispositivos móviles. El propietario accede a la página directamente y no ve nada. Cómo surgen esas redirecciones lo describe el artículo El sitio web redirige a sitios ajenos, y por qué los escáneres tienen límites aquí figura en Límites de los escáneres de malware.
Advertencia de Google y spam en el índice de búsqueda
Si Google ha marcado su página como peligrosa, el levantamiento se tramita a través de Search Console. Allí solicita una revisión en cuanto el servidor esté demostrablemente limpio. Qué pasos son adecuados para ello lo explica la guía Eliminar la advertencia de Google. Si los atacantes han generado además páginas de spam en su nombre, forma parte de ello su eliminación del índice; encontrará indicaciones en Spam SEO en el índice de Google.
Si su servidor envía spam, normalmente se ha utilizado indebidamente un formulario, un script o una cuenta de correo. Entonces conviene echar un vistazo a El servidor envía spam, porque la reputación de su dominio y de su dirección IP se resiente con cada correo más.
Cómo se manifiestan las webshells puede leerlo en Reconocer webshells. Desde PHP2Shell se suma una pregunta adicional: una actualización cierra la vulnerabilidad, pero no elimina el software malicioso que ya está allí. Esto vale por igual según la valoración del BSI (Oficina Federal alemana de Seguridad de la Información) y la prensa especializada.
Qué debería enviarnos
- los avisos textualmente o como captura de pantalla, con fecha
- las direcciones afectadas y, si se conocen, las vías de acceso (panel de hosting, SSH, CMS)
- nombres de la agencia, de los desarrolladores y del proveedor de hosting que conocen el sistema
- indicaciones sobre lo último que se cambió: actualizaciones, plugins nuevos, empleados nuevos con acceso
- datos sobre las copias de seguridad y su antigüedad
- una persona con capacidad de decisión que esté localizable
Los datos incompletos no son un obstáculo. Preguntamos lo que falte.
Por qué PHP SOS
Somos un proveedor Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un interlocutor fijo, trabajamos en remoto y documentamos cada paso, de modo que tenga pruebas en la mano frente al proveedor de hosting, la aseguradora y los clientes. No prometemos nada que nadie pueda cumplir y decimos con franqueza qué está demostrado, qué es probable o qué se desconoce. No prestamos asesoramiento jurídico; las cuestiones de responsabilidad y de obligaciones de notificación corresponden al delegado de protección de datos y al abogado.
¿Le afecta? Llame. Le ayudamos.
Si su sitio web advierte a los visitantes, entrega código malicioso o envía spam, cuenta cada día que sigue así en la red. Póngase en contacto ahora: llame o escriba por WhatsApp. Nos hacemos cargo desde el primer mensaje y seguimos hasta que el incidente esté cerrado y documentado. Comunicar la emergencia ahora
Preguntas frecuentes
¿Por qué muestra el navegador una advertencia sobre mi sitio web?
Los navegadores recurren a listas de sitios peligrosos conocidos. Si su dominio figura en ellas, el navegador bloquea el acceso con una página de advertencia roja. Normalmente detrás hay código ajeno en el servidor que redirige a los visitantes o descarga software malicioso.
¿Basta con dar por resuelta la advertencia en Google?
No. Una revisión en Google solo sirve si antes se ha eliminado por completo el código malicioso y se ha cerrado la puerta de entrada. Si no, la advertencia reaparece poco después, y una solicitud rechazada cuesta tiempo.
Mi antivirus no encuentra nada y la advertencia sigue ahí. ¿A qué se debe?
Los escáneres reconocen sobre todo patrones conocidos. El código malicioso que solo se entrega a determinados visitantes, buscadores o dispositivos a menudo pasa desapercibido. Entonces solo ayuda cotejar los archivos con un estado limpio y analizar los registros.
¿Por qué los correos de mi empresa acaban de repente en la carpeta de spam?
Si su servidor o su cuenta se utilizó indebidamente para enviar spam, baja la reputación de su dominio y de su dirección IP. Los servidores de los destinatarios clasifican entonces sus correos como sospechosos. Solo después de la limpieza se puede reconstruir la reputación.
¿Puedo simplemente desconectar mi sitio web?
Sí, y cuando se está entregando código malicioso de forma activa suele ser lo sensato para proteger a los visitantes. Pero no borre nada al hacerlo. Los registros y los archivos muestran cómo entró el atacante.