Este año, una investigación encontró muchos sitios web WordPress que presentaban un malware que minaba criptomonedas. Parece que este malware ha evolucionado y ha logrado convertirse en un keylogger que recopila información introducida por los visistantes durante sus visitas a estas webs. Se ha detectado ya en más de 5.500 sitios WordPress.
Descubierto un keylogger en más de 5.000 sitios web WordPress
El pasado mes de abril la empresa de seguridad Sucuri descubrió estos 5.500 sitios que usaban CMS infectados con malware para el minado de criptomonedas. Una práctica cada vez más común. Aunque, parece que a lo largo de los meses esta amenaza ha cambiado de forma notable.
Keylogger en WordPress
En un principio usaba el archivo functions.php de WordPress para realizar peticiones contra una dirección falsa de Cloudflare. Así podía establecer un WebSocket gracias a una librería. Pero, todo esto ha ido evolucionando con el paso del tiempo. Parece que por el momento el minado de criptomonedas se ha detenido. Ahora, este malware ha mutado en un keylogger. Por lo que todos los espacios de la web para introducir texto han cambiado.
Están obteniendo la información de los usuarios y es capaz de robar las credenciales de acceso a los perfiles de usuario del servicio web y en WordPress. Por lo que la gestión CMS se puede ver comprometida. A los usuarios se les recomienda cambiar de contraseña cuanto antes para evitar posibles problemas.
[irp]
Para aquellos usuarios cuyo sitio web en WordPress esté afectado, la solución es buscar el archivo functions.php. Dentro del mismo buscar la función add_js_scripts y borrarla directamente. A continuación buscar todas las sentencias en las que se mencione esta función y borrarlas también. Una vez hecho esto, lo ideal sería cambiar las contraseñas o credenciales de acceso.
