Anatomía del hackeo: persistencia, backdoors y SEO-spam

Por PathSentinel · Jesús Macías Rubiales — Investigación de seguridad web

Si estás leyendo esto, es probable que ya hayas pasado por lo peor: alguien te avisó de que tu web mostraba anuncios de casino en Google, o tu hosting la suspendió por «contenido malicioso», o abriste el navegador y te encontraste páginas en japonés que tú nunca creaste. Limpiaste. Restauraste una copia. Cambiaste la contraseña. Y a los pocos días volvió a pasar. Esa sensación de estar achicando agua de un barco que no deja de hundirse tiene una explicación técnica precisa, y no es mala suerte.

Un hackeo moderno no es un evento, es un sistema. El atacante no entra, hace ruido y se va. Entra en silencio, se asegura tres o cuatro vías de regreso, y monta una operación de monetización que puede sobrevivir a tu limpieza, a tu restauración e incluso a la reinstalación del CMS. Esta página es el mapa de ese sistema: cómo se esconde, cómo se queda y cómo convierte tu reputación en dinero. Desde aquí enlazamos a nuestras investigaciones y guías forenses de cada pieza, para que puedas profundizar en la que te esté afectando.

Las tres fases de un hackeo que persiste

En PathSentinel investigamos incidentes en pymes, e-commerce y también en entornos con datos de tarjeta, y el patrón se repite con una regularidad casi industrial. Todo compromiso que «no se va» se organiza en tres capas independientes. Entenderlas es la diferencia entre limpiar el síntoma y erradicar la causa.

La mayoría de las «limpiezas» que fracasan atacan solo la fase 3 —borran las páginas de spam— y dejan intactas las fases 1 y 2. Es como pintar sobre una mancha de humedad sin arreglar la tubería. Vamos capa por capa.

Cómo entra el atacante (y por qué el punto de entrada casi nunca importa)

El vector inicial puede ser un plugin desactualizado con una vulnerabilidad conocida, una contraseña de administrador filtrada en un infostealer, una credencial de FTP reutilizada, o un fallo en la web «vecina» del mismo servidor compartido. Es importante identificarlo para cerrarlo, pero aquí va la lección incómoda que aprendemos en cada investigación forense: una vez que el atacante ya está dentro, cerrar la puerta original no lo expulsa. Para entonces ya ha instalado sus propias puertas, y esas son las que te reinfectan.

Por eso este artículo dedica su cuerpo a la persistencia y a la monetización. El punto de entrada es historia; las puertas traseras son el presente.

Persistencia: el arte de quedarse dentro

La persistencia es el conjunto de mecanismos que garantizan al atacante volver a entrar aunque cambies contraseñas, actualices plugins o restaures un backup. Un operador competente nunca depende de una sola vía. Distribuye media docena de mecanismos independientes, de modo que si eliminas cinco, el sexto reconstruye los otros cinco durante la noche. Estos son los más habituales.

Usuarios administradores ocultos

El más simple y el más efectivo: crear una cuenta de administrador que no aparece en el listado normal de usuarios de WordPress, a menudo ocultándola por código o inyectándola directamente en la base de datos. Tú ves tu lista de usuarios «limpia», pero existe un dueño en la sombra. Lo desmenuzamos en Phantom Admin: cómo crean usuarios administradores ocultos en WordPress.

Webshells y backdoors en archivos

Un pequeño fragmento de PHP —a veces una sola línea ofuscada escondida entre miles de líneas legítimas— que permite ejecutar comandos o subir archivos con solo visitar una URL. Se camuflan con nombres inocentes (wp-cache-x.php, class-db.php) y se replican por directorios de uploads. Explicamos qué son y dónde buscarlas en Webshells: qué son, dónde se esconden y cómo encontrarlas en tu hosting, y catalogamos sus rastros en Web shells y backdoors: los IoC que delatan una puerta trasera.

Triggers de MySQL: la puerta dentro de la base de datos

Aquí es donde muchas limpiezas mueren. Un trigger es una rutina que la base de datos ejecuta sola cada vez que ocurre un evento —por ejemplo, cada vez que WordPress guarda un pedido o un comentario—. El atacante instala un trigger que recrea al admin oculto o reinyecta el spam automáticamente. Puedes borrar todos los archivos maliciosos y reinstalar WordPress entero: si el trigger sigue en la base de datos, la infección resucita. Es una de las técnicas más subestimadas y la analizamos a fondo en Triggers de MySQL maliciosos: la puerta trasera dentro de tu base de datos.

Cron jobs y tareas fantasma

Tareas programadas —en el cron del sistema o en el WP-Cron de WordPress— que se despiertan cada pocas horas para volver a descargar el malware desde un servidor de control. Eliminas la infección a las 18:00 y a las 21:00 está de vuelta, puntual como un reloj, porque literalmente lo es. Lo desarrollamos en Cron jobs y tareas fantasma: el IoC que reinfecta tu web una y otra vez.

La suma de todos estos mecanismos explica el fenómeno más frustrante para cualquier propietario: por qué tu web se vuelve a hackear aunque hagas «todo bien». La erradicación real exige inventariar y cerrar cada vía a la vez, en un mismo barrido, guiándote por indicadores objetivos como los archivos modificados y sus timestamps, que delatan qué se tocó y cuándo.

Backdoor-as-a-Service: cuando tu acceso se convierte en producto

Hay un motivo por el que la persistencia se ha vuelto tan sofisticada: el acceso a tu web tiene valor de mercado. El actor que te comprometió muchas veces no es quien monta el spam de casino. Es un intermediario que revende tu acceso —o lo alquila— a través de paneles y suscripciones en foros clandestinos. A esto lo llamamos Backdoor-as-a-Service: una economía en la que tu servidor es inventario.

Esto tiene una consecuencia práctica dura: aunque expulses a un inquilino, otro puede tener una llave comprada al mismo casero. Es la raíz de las reinfecciones que parecen imposibles. Lo explicamos como modelo de negocio criminal en Backdoor-as-a-Service: el mercado negro que revende el acceso a tu web, y en clave operativa —cómo cortar el suministro— en Por qué tu web se reinfecta: erradicar puertas traseras persistentes (BaaS).

Monetización: cómo tu reputación se convierte en dinero

Con el acceso asegurado, empieza el negocio. El atacante no quiere tu web para ti: la quiere para Google. Tu dominio, si es antiguo y tiene autoridad, es un vehículo perfecto para posicionar contenido que por sí solo nunca rankearía: apuestas ilegales, farmacia falsificada, réplicas. Estas son las formas que adopta.

SEO spam: casino, pharma y palabras en otro idioma

La inyección de miles de páginas o enlaces ocultos hacia apuestas o medicamentos. El clásico SEO spam en WordPress de casino y Viagra convive con variantes muy específicas como el pharma hack, que hace que tu web «venda» Viagra sin que lo sepas, o el Japanese keyword hack, que llena Google de resultados con texto japonés o chino bajo tu dominio. Si ya ves anuncios de apuestas, empieza por cómo detectar y limpiar el SEO spam de casino.

Páginas doorway y cloaking: la web de dos caras

El atacante genera páginas doorway de casino: URLs creadas solo para captar tráfico de búsqueda y redirigir al usuario a la oferta real. Para que tú no lo detectes usa cloaking y doble-fetch: al robot de Google le sirve el spam, y a ti —o a tu IP de administrador— la web normal. Por eso puedes jurar que tu web está limpia mientras Google ve otra cosa. La forma práctica de destapar el engaño es comprobar la web con curl falsificando el user-agent del buscador.

Redes PBN: tu web como pieza de una máquina mayor

A veces tu sitio no es el destino del spam, sino un enlazador. Cientos de dominios hackeados se entrelazan formando una red PBN de casino que manipula el ranking de un puñado de webs objetivo. Tu dominio aporta un enlace de autoridad y, a cambio, se lleva la penalización de Google cuando la red cae.

Los indicadores que delatan un compromiso persistente

La buena noticia es que este sistema deja huellas. Un análisis forense serio no busca «un virus»; reconstruye la línea temporal cruzando indicadores de compromiso (IoC). Estos son los que priorizamos en cada investigación:

• Archivos con fecha de modificación anómala, especialmente ficheros del core con timestamp reciente o, al contrario, alterado para parecer antiguo.
• Usuarios administradores que no reconoces o que no aparecen por la vía normal.
• Triggers, funciones o vistas inesperadas en la base de datos.
• Tareas cron del sistema o WP-Cron que apuntan a scripts o dominios extraños.
• Respuestas distintas según el user-agent o la IP: la firma inequívoca del cloaking.
• Conexiones salientes hacia servidores de control desconocidos.

Ninguno de estos, aislado, prueba nada. Juntos, cuentan la historia completa: quién entró, cuándo, qué dejó plantado y cómo cobra. Sin esa reconstrucción, cualquier limpieza es una apuesta.

Por qué la limpieza superficial siempre fracasa

Recapitulando la tesis de esta página: un hackeo persistente es un sistema de tres capas —intrusión, persistencia y monetización— y la reinfección ocurre porque casi todo el mundo trata solo la capa visible. Borrar el spam sin cerrar los backdoors, sin eliminar el admin oculto, sin purgar los triggers y sin desmontar el cron es garantizar la vuelta del problema. La erradicación es un acto único y coordinado, guiado por evidencia, no una sucesión de parches.

Las plataformas oficiales coinciden en este enfoque. Merece la pena leer la documentación de Google sobre sitios comprometidos con spam y las guías de fortificación de WordPress y OWASP para entender el modelo de amenaza con fuentes de primera mano:

• Google Search Central — «Hackeada con spam»
• WordPress — Hardening (fortificación de la instalación)
• OWASP — Catálogo de ataques web

Si algo de lo que has leído aquí te resulta familiar —el spam que vuelve, las páginas en japonés, el aviso del hosting— no estás ante un incidente puntual, sino ante un sistema que sigue en marcha. Y a un sistema se le desmonta pieza a pieza, con método forense.