El malware de falsa actualització del navegador sol ser una injecció a la web, no un problema del navegador. El visitant veu un avís convincent perquè codi compromès de WordPress, un recurs extern o una capa CDN modifica la pàgina que rep.
Captura la resposta afectada abans d’eliminar l’avís
Guarda HTML renderitzat, URLs dels scripts, destinació de redirecció i hora. Compara un navegador afectat amb una petició neta i comprova si la injecció depèn de dispositiu, referrer, geografia o estat de sessió.
Separa injecció local i recurs extern compromès
- Revisa fitxers de tema i plugins modificats recentment.
- Busca scripts inline i dominis JavaScript remots inesperats.
- Comprova opcions de base de dades i widgets capaços d’injectar markup.
- Verifica regles de CDN/edge i canvis al gestor d’etiquetes.
Segueix la via d’entrada, no només l’script visible
Si apareix PHP executable a uploads, compara fitxers PHP maliciosos a wp-content/uploads. Si el payload visible està guardat o configurat a la base de dades, revisa persistència maliciosa a wp_options.
Contén sense destruir la cadena d’evidència
Si cal, talla l’accés públic a la resposta maliciosa, però conserva el fitxer o configuració sospitosos i els logs rellevants abans de netejar.
Reconstrueix la ruta de lliurament compromesa
- Elimina loader i payloads confirmats.
- Actualitza o substitueix el component o compte vulnerable.
- Rota credencials privilegiades i tokens de tercers relacionats.
- Purga CDN, cache de pàgina i caches de cara al navegador només quan l’origen sigui net.
No bloquegis només el domini final de redirecció
El codi injectat pot canviar de domini mentre el component compromès continua servint l’engany.
Verificació en diferents contextos
Prova sessions autenticades i anònimes, diversos dispositius i trànsit directe/referral. HTML i peticions de xarxa han de continuar nets després que caduquin caches i no ha de tornar cap injecció per cron o base de dades.
CRITERI D’INCIDENT WP REPAIR
Com acotar l’error sense endevinar
Com que la càrrega útil és sovint condicional i remotament controlada, el lloc pot semblar normal per als administradors.
Gravar dispositiu, referència, geografia, galeta estat i destí.
Captura el HTML, JavaScript URLs i cascada de xarxa sense executar baixades.
Cerqueu temes, plugins, opcions de base de dades, gestors d’etiquetes i regles del servidor.
Comprova scripts remots el contingut dels quals pot canviar sense modificar el fitxer local.
Què ha de quedar verificat
- Les condicions originals del visitants ja no mostren l’avís.
- No queda cap canvi d’administrador d’etiquetes o script remot no aprovat.
- Monitor de seguretat i verificació de la reputació del navegador mantenir-se net.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Si el lloc es veu completament bé per a un administrador, això descarta aquesta infecció?+
No. Aquesta càrrega útil és sovint condicional i remotament controlada, el que significa que només es pot mostrar a visitants específics basats en el dispositiu, referrer, o geografia, mentre que sembla totalment normal a un administrador que navega per les mateixes pàgines.
Està bé fer clic en l'actualització falsa o la sol·licitud CAPTCHA en una màquina d'administració només per veure el que fa?+
No, això mai s'ha de fer en una estació de treball amb accés administratiu. El destí ha de ser tractat com a hostil i analitzat només a través de mètodes aïllats i controlats en comptes de descarregar o executar el que ofereix.
Podria aquest atac estar executant-se a través d’una eina d’aspecte legítim com un administrador d’etiquetes en comptes dels propis fitxers WordPress?+
Sí. Un contenidor d’administrador d’etiquetes compromès que té accés legítim a la publicació pot carregar la càrrega útil maliciosa sense cap fitxer local al lloc WordPress que s'està modificant, per la qual cosa els scripts de tercers i els administradors d’etiquetes han de ser comprovats juntament amb els fitxers theme i plugin.
Per què no es pot trobar el script maliciós escanejant els fitxers WordPress locals en absolut?+
Un patró de carregador remot usa només un petit fragment local que obté el canvi de codi controlat per l’atacant d’una font externa, de manera que la càrrega útil maliciosa real pot variar o actualitzar sense cap canvi corresponent als fitxers locals que s'estan escanejant.