El mayor problema es que el plugin RevSlider es un plugin de alta calidad, no es algo que todo el mundo puede actualizar fácilmente y que en sí mismo se convierte en un desastre para el propietario del sitio web.Algunos propietarios de sitios web ni siquiera saben que lo tienen.
 
La primera entrada busca los archivos revicons.eot y el segundo intenta utilizar una de las vulnerabilidades Revslider para descargar el archivo wp-config.php.
 
Si el exploit es exitoso, inyectan los populares backdoor Filesman en el sitio web, que les da acceso directamente a /wp-content/plugins/revslider/temp/update_extract/revslider/update.php esto proporciona acceso completo eludiendo los controles existentes.
 
A partir de ahí, inyectan una puerta trasera secundaria que modifica el archivo swfobject.js e inyecta el malware visitante del sitio redireccionando a soaksoak.ru.
 
No se limite a limpiar estos 2 archivos!!!
 
Simplemente reemplazar los swfobject.js y archivos en plantillas loader.php para eliminar la infección.
 
RECOMENDACIONES:
 
Actualizar RVSLIDER
 
Mantener WordPress actualizado a la última versión, única garantía de control de vulnerabilidades conocidas.
 
Instalar solamente plugins seguros, a ser posible desde el repositorio oficial.
 
Instalar solamente temas seguros, a ser posible desde el repositorio oficial.
 
Revisar la sección de seguridad de Ayuda WordPress para comprobar que has realizado todas las acciones de seguridad necesarias.
 
Suscribirte al feed de Ayuda WordPress para estar informado de las alertas de seguridad.

Hecho esto …  ¡vamos a ello!
 
1- Bulletproof security
 
Este plugin ofrece un entorno de seguridad muy completo, protegiendo tu WordPress de inyecciones de código XSS, RFI, CSRF, Base64, así como de intenteos de hackeo por inyección SQL.
 
También hace comprobaciones de seguridad del prefijo de la base de datos, seguridad del fichero wp-config.php así como de las carpetas del núcleo de WordPress y ficheros .htaccess.
 
Es de los más completos, incluyendo además un editor de archivos de sistema.
 
2- 6Scan Security
 
6Scan hace un escaneo de tu WordPress para tratar de descubrir vulnerabilidades de seguridad – conocidas o no – y tratar de solucionarlas de manera automática.
 
Sus virtudes y funcionalidades son las siguientes:
 
-Patrol: El escaner Patrol de 6Scan imita las acciones de un hacker tratando de acceder e infectar tu sitio. Cada página, formulario y script de tu sitio es revisado para detectar puntos débiles que puedan, potencialmente, convertirse en agujeros de seguridad. Patrol encuentra y te protege de:

--Inyecciones SQL
--Cross-Site Scripting (XSS)
--Redirecciones de directorios
--Insercciones de ficheros remotos
--Y mucho más.
 
-Bodyguard: Este módulo actúa en tu servitor para tratar de solucionar todas las vulnerabilidades de seguridad encontradas por Patrol.
-Actualizaciones constantes: Algo vital en un software de seguridad.
-Instala y olvida: una vez instalas 6Scan Security no hay que hacer más, el se ocupa de mantener el sitio protegido.
-Invisible: 6Scan Security no afecta al rendimiento del sitio ni interfiere con su funcionamiento normal.
 
3 - WP plugin security check
 
Este es uno de mis imprescindibles, pues comprueba la parte más débil de nuestra instalación: 
 
los plugins de terceros.
 
Y es que el mayor agujero negro para cualquier instalación de WordPress son los plugins, y este sistema en concreto analiza cada plugin instalado para comprobar si contiene agujeros de seguridad o malas prácticas de programación que puedan comprometer tu instalación de WordPress.
 
4 -  AskApache Password protect
 
Para locos por la seguridad, este plugin actúa como un muro de contención para cualquier tipo de ataque a tu WordPress pero sin tocar WordPress o su base de datos.En su lugar usa la autentificación HTTP básica o, a tu elección, la autentificación HTTP Digest, que eliges en los ajustes del plugin.
 
Lo mejor de AskApache Password Protect es que actúa antes de llegar a tu WordPress, por lo que lo mantiene libre de accesos indeseados, incluso de spam, tu WordPress.
 
5 - Login lock
 
Este es otro de mis imprescindibles. Y es que si quieres que WordPress gestione los accesos de administración de manera profesional en este plugin encuentras todo lo necesario.
 
Puedes controlar los accesos por …
 
Límite de tiempo entre intentos de acceso
Cantidad de intentos de acceso
Obligar al cambio de contraseña tras un tiempo determinado
Definir un mínimo de caracteres para las contraseñas
Exigir contraseñas seguras (con números, letras y caracteres adicionales)
Evitar contraseñas repetidas
Forzar el “logout” tras un tiempo definido
Muy completo y fácilmente personalizable en la pantalla de ajustes del plugin. Como te digo, imprescindible si tienes un sitio con muchos usuarios registrados o eres exigente con la seguridad.
 
6 - Antivirus (Si, el plugin se llama Así)
 
Ninguna guía de seguridad estaría completa sin un buen antivirus, y WordPress también tiene plugin de antivirus, y bastante completo.
 
Antivirus realiza comprobaciones de manera habitual, y por supuesto nada más instalarse, en los archivos de tu tema, plugins y base de datos, para encontrar posibles inyecciones maliciosas y limpiarlas.
 
Si lo deseas, también te envía email con los resultados de la comprobación diaria, y hasta te ofrece alertas antivirus en la barra de Admin.
 
SI NO DESEAS VER BLOQUEADA TU WEB O ELIMINADA TOMA TUS PRECAUCIONES.

ESTA PAGINA WEB ES MUY UTIL PARA TESTEAR NUESTRA PAGINA WEB WORDPRESS:

sitecheck.sucuri.net
 


Monday, December 22, 2014







« Atrás