El malware web no se anuncia. Está diseñado para actuar sin que se vea, usando tu sitio para robar datos, redirigir visitantes o atacar otros sistemas mientras la web parece funcionar con total normalidad. Cuando el propietario nota que algo va mal, el malware suele haber hecho ya su daño. Este artículo explica qué lo hace tan persistente y cómo es en realidad por dentro.
Malware, abreviatura de software malicioso, es código colocado en una web sin que el propietario lo sepa y que sirve a los intereses del atacante. Puede llegar por una vulnerabilidad en software desactualizado, una contraseña de administrador robada o un script de terceros comprometido. Una vez dentro, funciona junto al contenido legítimo sin provocar ningún aviso evidente. Para entender qué hace vulnerables a las webs desde el principio, lee el artículo sobre por qué es importante la seguridad web.
¿Qué es el malware web?
El malware web no es un tipo concreto de amenaza. Es una categoría que incluye muchos tipos distintos de código malicioso, cada uno diseñado para hacer algo diferente una vez dentro del sitio. Conocer los tipos ayuda a entender por qué el malware es tan difícil de detectar y por qué suele causar daño mucho antes de que alguien note que está ahí.
Tipos habituales de malware web
- El malware de redirección cambia a dónde van tus visitantes y los envía a páginas de phishing, sitios fraudulentos o páginas que generan ingresos publicitarios para el atacante
- El malware de skimming captura los datos de tarjetas de pago introducidos en las páginas de pago y se los transmite al atacante en tiempo real, sin que el visitante ni el propietario lo sepan
- El malware de puerta trasera instala un punto de entrada oculto y persistente que permite al atacante volver incluso después de corregir la vulnerabilidad original
- El ransomware cifra los archivos del sitio y exige un pago para devolver el acceso
- El malware de criptominería usa los recursos del dispositivo de tus visitantes para minar criptomonedas para el atacante mientras navegan por tu sitio
- El malware de spam usa el servidor del sitio para enviar correos no solicitados, lo que puede hacer que tu dominio acabe en una lista negra
¿Cómo llega el malware a una web?
Software desactualizado
- Cuando se descubre una vulnerabilidad en una plataforma web, un plugin o un tema, los detalles se publican a la vez que se lanza el parche
- Los escáneres automáticos empiezan de inmediato a buscar sitios que aún usan la versión antigua. El periodo entre que sale un parche y que un sitio lo aplica es cuando el riesgo es mayor
- Cada día que un sitio funciona con software desactualizado con una vulnerabilidad conocida, es un objetivo documentado
Credenciales de administrador comprometidas
- Las herramientas automáticas prueban miles de combinaciones de usuario y contraseña en las páginas de acceso hasta que una funciona. Las contraseñas débiles o repetidas lo ponen fácil
- Las credenciales robadas mediante phishing o filtraciones de datos en otros servicios dan a los atacantes acceso directo al panel de administración, donde pueden instalar malware sin explotar ninguna vulnerabilidad técnica
Código de terceros vulnerable
- Los plugins, temas e integraciones amplían lo que puede hacer un sitio, y también amplían el número de posibles puntos de entrada
- Una vulnerabilidad en cualquier componente de terceros puede explotarse por muy segura que sea la plataforma base
- Los plugins y temas inactivos que no se mantienen actualizados siguen siendo vulnerables aunque no se usen en el sitio
Scripts externos comprometidos
- Los sitios que cargan scripts de proveedores externos (herramientas de analítica, redes publicitarias, widgets de chat) quedan expuestos si esos proveedores son comprometidos
- El código malicioso entregado a través de un script externo de confianza llega a todos los sitios que usan ese servicio, no solo a uno
¿Qué le hace el malware a tu sitio?
Redirige a tus visitantes
- El malware de redirección envía a los visitantes a páginas con las que no tienes ninguna relación, a menudo sin ninguna señal visual de que se ha producido una redirección
- Esos destinos pueden intentar instalar software malicioso en el dispositivo del visitante, recoger credenciales de acceso o llevar a cabo una estafa
- La redirección suele ser condicional: solo afecta a visitantes que llegan desde los resultados de búsqueda o solo a usuarios de móvil, para evitar que la detecte el propietario del sitio que entra directamente
Daña tu visibilidad en buscadores
- Los buscadores que detectan malware en un sitio añaden una etiqueta de aviso a su resultado. El porcentaje de clics baja casi a cero cuando aparece ese aviso
- En casos más graves, el sitio se elimina por completo de los resultados hasta que se limpia y se aprueba una solicitud de revisión
- Los avisos del navegador bloquean a los visitantes antes de que lleguen siquiera a la página, y eliminan el tráfico de quien se los encuentra
Expone los datos de tus visitantes
- El malware de skimming captura información sensible mientras los visitantes la introducen. Los datos de pago, las contraseñas y la información de contacto se transmiten al atacante mientras el envío del formulario se completa con normalidad
- Ni el visitante ni el propietario del sitio son conscientes de que está ocurriendo
- La exposición de los datos de los visitantes tiene consecuencias legales en las regiones con normas de protección de datos, y el daño a la reputación puede durar más que cualquier arreglo técnico
Secuestra tu sitio
- El ransomware cifra los archivos del sitio y deja al propietario sin acceso por completo. Recuperar el acceso exige pagar el rescate o restaurar una copia de seguridad limpia
- Los propietarios con copias recientes guardadas aparte del servidor pueden restaurar sin pagar. Los que no tienen una copia fuera de línea tienen muy pocas opciones
¿Cómo saber si tu sitio tiene malware?
Señales que puede observar el propietario del sitio
- Archivos que aparecen en el directorio del sitio y que nadie de tu equipo ha añadido
- Cambios en archivos principales o de configuración que nadie ha hecho
- Cuentas de administrador nuevas que aparecen en el panel
- El sitio carga notablemente más lento sin ningún cambio de contenido ni de código
- Quedarte sin acceso al panel de administración
Señales que se detectan desde fuera del sitio
- Visitantes que cuentan que su navegador les avisa de que no visiten tu sitio
- Una etiqueta de aviso junto a tu sitio en los resultados de búsqueda
- Visitantes que cuentan que los han redirigido a páginas desconocidas tras hacer clic en enlaces de tu sitio
- Correos rebotados o informes de listas negras relacionados con tu dominio
Por qué puede que no notes nada
- Muchos tipos de malware están diseñados específicamente para ser invisibles para los propietarios mientras atacan a los visitantes
- El malware de redirección suele activarse solo para los visitantes que llegan desde buscadores, y deja el sitio con aspecto normal cuando entras directamente
- Hacer análisis de seguridad con regularidad es la única forma fiable de detectar infecciones diseñadas a propósito para que no se vean
¿Cómo se elimina el malware de una web?
Restaurar una copia de seguridad limpia
- Restaurar una copia hecha antes de que entrara el malware sustituye todos los archivos infectados por una versión verificada y limpia del sitio
- Después de restaurar, hay que identificar y cerrar la vulnerabilidad que permitió el ataque antes de volver a poner el sitio en línea. Si no, la misma infección se repite
- Para saber cómo configurar copias de seguridad antes de que ocurra un incidente, lee el artículo sobre cómo hacer copias de seguridad de tu web
Eliminación manual cuando no hay copia disponible
- Hay que identificar los archivos infectados con un escáner de seguridad y limpiarlos o sustituirlos por versiones limpias de la fuente original
- Hay que encontrar y eliminar las puertas traseras que haya dejado el atacante. Si queda cualquier parte de la infección, el atacante mantiene el acceso
- La eliminación manual es más lenta y menos fiable que restaurar una copia, sobre todo cuando se han instalado puertas traseras
Cuando el sitio ya está limpio
- Cambia todas las credenciales asociadas al sitio, incluidas las cuentas de administrador, el panel del hosting, el FTP y la base de datos
- Actualiza todo el software para cerrar las vulnerabilidades que se explotaron
- Envía una solicitud de revisión de malware a los buscadores para que se puedan retirar los avisos de los resultados
- Vigila el sitio de cerca durante varias semanas para confirmar que el malware no ha vuelto a entrar
Para una guía completa sobre cómo evitar que el malware llegue a tu sitio, lee el artículo sobre cómo proteger tu web de los hackers. Para saber qué protegen los certificados SSL y contra qué no protegen, lee el artículo sobre qué es un certificado SSL y cómo funciona.
Cómo gestiona WEMASY la protección contra el malware
La infraestructura de hosting de WEMASY incluye protección con firewall y filtrado de tráfico a nivel de red, que bloquea una parte importante de los ataques automatizados antes de que lleguen a cada sitio. Las actualizaciones de software se gestionan a nivel de plataforma, así que los sitios en WEMASY no están expuestos a vulnerabilidades de código de plataforma desactualizado.
Las copias de seguridad están incluidas en todos los planes y se gestionan automáticamente, con opciones de restauración desde el panel. Si ocurre un incidente, volver a un estado limpio no exige conocimientos técnicos ni un servicio de copias aparte.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Qué es el malware web?
El malware web es código malicioso colocado en una web sin que el propietario lo sepa. Los atacantes lo inyectan a través de vulnerabilidades del software del sitio, credenciales de administrador comprometidas o scripts de terceros infectados. Una vez en el sitio, el malware puede redirigir visitantes, robar datos, enviar spam, cifrar archivos a cambio de un rescate o usar los dispositivos de los visitantes con fines no autorizados. Normalmente se ejecuta en segundo plano mientras el sitio parece funcionar con normalidad. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Cómo llega el malware a una web?
Las vías más habituales son aprovechar vulnerabilidades conocidas en software web desactualizado, acceder con contraseñas de administrador débiles o robadas y comprometer plugins de terceros o scripts externos. Las herramientas automáticas analizan millones de sitios sin parar en busca de estas vulnerabilidades y las explotan sin apuntar a ningún sitio concreto. Mantener el software actualizado y las credenciales de administrador seguras y únicas cierra la mayoría de los puntos de entrada.
¿Cómo sé si mi web tiene malware?
Entre los indicadores habituales están visitantes que cuentan redirecciones a sitios desconocidos, avisos del navegador o de los resultados de búsqueda sobre tu sitio, archivos inesperados en el directorio del sitio, cuentas de administrador nuevas que nadie ha creado y un sitio que carga mucho más lento de lo normal. Muchas infecciones están diseñadas para ser invisibles para el propietario mientras afectan a los visitantes, así que hacer análisis de seguridad con regularidad es la única forma fiable de detectarlas pronto.
¿El malware puede afectar al posicionamiento en buscadores?
Sí, de forma directa. Los buscadores que detectan malware añaden una etiqueta de aviso al resultado del sitio, lo que reduce el porcentaje de clics casi a cero. En casos graves, el sitio se elimina por completo de los resultados hasta que supera una revisión tras limpiarse. Los avisos del navegador bloquean a los visitantes antes de que lleguen a la página. Recuperar la visibilidad en buscadores tras un incidente de malware lleva tiempo y no siempre es inmediato, incluso cuando se confirma que el sitio está limpio.
¿Cuál es la forma más rápida de recuperarse de una infección de malware?
Restaurar una copia de seguridad limpia es el método de recuperación más rápido y fiable. Sustituye todos los archivos infectados por una versión verificada y limpia del sitio. Después de restaurar, hay que corregir la vulnerabilidad que permitió el ataque antes de volver a publicar el sitio, y conviene cambiar todas las credenciales. Si no existe una copia limpia, hay que identificar y limpiar los archivos infectados a mano, lo que lleva bastante más tiempo y es más probable que deje problemas residuales.
¿Un certificado SSL protege contra el malware?
No. SSL cifra los datos en tránsito entre el navegador del visitante y el servidor. No protege la propia web del malware. Un sitio con un certificado SSL válido puede infectarse igualmente si el servidor tiene vulnerabilidades, las credenciales de administrador son débiles o un plugin o un script externo tiene un fallo de seguridad. SSL y la protección contra el malware se ocupan de amenazas distintas y las dos son necesarias: SSL protege los datos que envían los visitantes, mientras que las medidas de seguridad del servidor protegen el sitio frente a un ataque.