Hay procesos desconocidos corriendo en mi servidor, la empresa de hosting dijo 'limpienlo' — ¿por dónde empiezo?

a mi me pasó lo mismo el año pasado, entraron por un exploit de un plugin de wordpress. en ese momento hice una consulta con wpdb y habían añadido una cuenta de admin en la tabla wp_users. borré ese admin pero aun así había código shell en el sistema de archivos un .jpg que en realidad era un ejecutable. la empresa de hosting dijo que se acabó...

Para encontrar la webshell, ejecuta esta consulta con find: find /var/www -name '*.php' -newermt '3 months ago' | xargs file | grep 'PHP script'. Filtra los POST requests en los logs de acceso, especialmente los endpoints de subida de archivos. Puedes ejecutar WPScan para escaneo de vulnerabilidades, pero es crítico aislar la red primero. Revisa las URLs de siteurl y home en la tabla wp_options de la base de datos, pueden haber sido modificadas.

Vaya, qué mal asunto. Bueno parece que estás muy en pánico. Lo primero que tienes que hacer es realmente hacer una copia de seguridad, luego desactivar los plugins y temas uno por uno. Entra al admin de WP revisa los usuarios. Puede que hayan creado una nueva cuenta de admin. Luego instala un plugin de seguridad, actualiza WP. Si después de un tiempo vuelves a tener problemas entonces contacta con la empresa de hosting.

Piensa en ello como una revisión de ciberseguridad: 1) Corta el tráfico de red, 2) Toma un snapshot del sistema, 3) Busca vulnerabilidades (web shell, usuario de base de datos, cron job), 4) Detecta el mecanismo de acceso (qué plugin, qué cuenta, cuándo), 5) Borrado y restauración. En WordPress suele ser por falta de actualización de plugins o contraseñas débiles. La semana pasada tuvimos una situación similar en un sitio, la contraseña de la base de datos estaba hardcodeada en wp-config.php, phpmyadmin estaba abierto...

Me pareció un poco raro, ¿la empresa de hosting te avisa inmediatamente si hay código malicioso? Lo detectaron en sus propios sistemas. Si pudiste iniciar sesión por SSH, significa que aún tienes acceso... ¿Pudiste entrar también en la base de datos? Es decir ¿el exploit sigue activo o simplemente dejaron la shell olvidada? ¿Cuándo hiciste la última copia de seguridad? Si quieres ir por la vía de la restauración, ¿puedes restaurar desde una copia antigua?

oh no, hackeo de wordpress... es muy feo esto. pero simplifícalo: vuelve a la última copia de seguridad. restaura mysql y los archivos luego luego actualiza todo wp. así queeda bien limpio. además que la empresa de hosting lo revise, anda.

Gracias, esa era la respuesta que buscaba. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Corrijanme si me equivoco.

Dejo una advertencia. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. Ánimo.

Guardado.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. bueno ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

Eso es todo, disculpa si me he extendido demasiado.

Tiene razón. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Yo seguiría por ese camino.

La respuesta de arriba ha dado en el clavo. Intentar hacerlo solo es la vía más cara.

Por supuesto, cambia si tu situación es diferente.

Me han quedado claras las dudas, gracias.

No sabía eso.

Exacto, y encima no es tan conocido. Si regañas las falsas alarmas, nadie volverá a reportar.

Tienes razón, yo también pasé por lo mismo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

No tengo ninguna experiencia en mi servidor tiene un virus, por eso pregunto. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

También me gustaría saber si alguien lo hace de otra manera.

Tiene razón. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Si escribís el resultado aquí, también servirá de ayuda a otros.