Cómo saber si mi sitio web tiene virus

Hace ya unas semanas Macarena nos transmitió esta duda (en forma de pregunta) a #KontsultaMU ¿Cómo saber si mi sitio web está infectado? Bueno, en concreto la pregunta tenía relación con una serie de noticias publicadas en relación con el número de blogs de wordpress infectados con malware. De vez en cuando por Internet suelen aparecer este tipo de noticias: blogs hackeados, contraseñas comprometidas, redes sociales comprometidas, sitios web con virus, etc. Eso sí, algunas de estas noticias, son más creíbles que otras, todo hay que decirlo 😉

Y claro ya se sabe, en cuánto oímos  que una serie de sitios web que utiliza herramientas o tecnologías similares a la nuestra está infectado enseguida vamos a buscar la solución, o cómo en este caso para saber si mi sitio web también ha sido hackeado o no.

Antes de hablar de las posibles soluciones primeramente vamos a definir el concepto de web hackeada, o lo que mucha gente denomina «mi web tiene virus».

Primeramente está los casos extremos. No suelen ser habituales en webs empresariales ya que los destinatarios de estos ataques normalmente suelen ser organismos públicos y/o políticos.

Pero también suelen afectar a webs de empresas cómo en el caso este al sitio web del Hotel Portugués Imperador.

Cómo os podéis imaginar el daño que le ha podido hacer al negocio habrá sido terrible. Cómo podemos ver Google en este caso llegó a modificar el propio snippet (la descripción).

Otro nivel de ataque diferente es cuándo entran en nuestro sitio web, no modifican ni la estructura, ni la base de datos, ni las principales páginas. Unicamente modifican una de las entradas, para añadir una información o mensaje concreto.  Suele ser una técnica muy utilizada para «colarnos» backlinks determinados.  En el siguiente ejemplo, con motivo de la huelga general «colaron» una entrada a la web de la cámara de comercio de Gipuzkoa.

Esta técnica también se suele utilizar para tratar de vender productos o servicios a comisión. Es decir, no siempre se trata de hackear sitios web para vender viagra, también se pueden vender (estilo afiliados), otros productos o servicios más normales. En este ejemplo, la web del servicio de empleo del ayuntamiento de córdoba «diversifica negocio» y se dedica a la venta de gafas de sol carrera. xDDDD

y por último está el «hackeo» estrella dónde, nos atacan la web, mantinen las urls (es decir, mantienen el posicionamiento de marca), pero sustituyen el contenido y los metadatos para conseguir más visibilidad. El ejemplo es del servicio de autobuses de Pamplona.

Bueno, dejemos de hablar de los ejemplos y de los problemas y hablemos de las soluciones. Antes de hablar de las soluciones verifiquemos que nuestro sitio web ha sido hackeado. Para ello Google nos proporciona un enlace dónde sustituyendo «dominio» por nuestro dominio principal nos dirá si nuestro sitio web ha sido hackeado.

http://www.google.com/safebrowsing/diagnostic?site=“dominio”

En este ejemplo, si comprobamos para la web Mondragon Unibertsitatea, veremos que en los últimos 90 días en los que el bot de Google ha pasado por el sitio web no ha visto indicios de ataques http://www.google.com/safebrowsing/diagnostic?site=mondragon.edu

Proceso de solución del problema:

1. Reestablecer el servicio. Sustituir el sitio web hackeado, si ha sido atacado en su totalidad o sustituir la url modificada. Además de ello modificaremos todas las contraseñas de acceso, tanto de las cuentas FTP, cómo de las cuentas de acceso al Panel de Control. Este suele ser el paso más urgente y el más habitual, pero creo que no es suficiente.
2. Avisar a Google que hemos solucionado el problema. A veces arreglamos el problema pero Google (y pasará bastante tiempo hasta que se de cuenta) sigue pensando que nuestro sitio web está hackeado. Para ello el mejor método es utilizando Google Webmaster Tools.
3. Auditoría de seguridad. Han atacado nuestra web por que han identificado una vulnerabilidad de nuestro servidor, del gestor de contenidos que estemos utilizando o de una plantilla o plugin «molón» que hayamos instalado.
4. Actulización de seguridad. Actualizaremos el correspondiente sistema vulnerable. Este punto es tremendamente importante, si no corregimos la puerta trasera por la que nos han «entrado» volverán a hackear nuestra web.

Una vez dados todos los pasos volveremos a pasar la herramienta de diagnóstico de Google, dónde nos debe decir, que efectivamente el problema está corregido. En el siguiente ejemplo, la web del Hotel Etxegana, ha sido hackeada, pero enseguida ha sido corregida. En este caso Google nos dice, que los últimos días ha tenido un problema de «sitio web infectado» que ya ha sido corregido.