Qué importa primero: A los visitantes se les muestra una falsa Chrome, CAPTCHA o navegador de actualización que intenta entregar malware. El sitio WordPress solo puede albergar la inyección JavaScript o redirigir la lógica.
Qué indica realmente este síntoma
Debido a que la carga útil es a menudo condicional y remotamente controlada, el sitio puede parecer normal para los administradores.
Recopila pruebas antes de cambiar nada
- Grabar dispositivo, referencia, geografía, cookie estado y destino.
- Capturar el HTML, JavaScript URLs y cascada de red sin ejecutar descargas.
- Busque temas, plugins, opciones de base de datos, gestores de etiquetas y reglas del servidor.
- Comprueba scripts remotos cuyo contenido puede cambiar sin modificación de archivo local.
Causas más habituales
- JavaScript inyectado: El código malicioso se almacena en archivos tema, widgets o contenido de base de datos.
- Gestor de etiquetas comprometido: Un contenedor autorizado de terceros carga la carga útil.
- Cargador remoto: Un pequeño fragmento local trae el cambio de código del atacante.
- Redireccionamiento condicional: Las reglas del servidor o PHP se dirigen únicamente a los visitantes seleccionados.
Secuencia segura de diagnóstico y reparación
- Retire el cargador local o de terceros y revoque el acceso comprometido a la publicación.
- Reemplace los componentes modificados con copias de confianza y persistencia limpia.
- Parche el punto de entrada y gire las credenciales pertinentes de WordPress, servidoring y tag-manager.
- Nueva prueba bajo el gatillo original con cachés y CDN purgado.
Cómo distinguir entre las causas probables
No trates JavaScript inyectado y Gestor de etiquetas comprometido como causas equivalentes. El código malicioso se almacena en archivos tema, widgets o contenido de base de datos. En cambio, un contenedor autorizado de terceros carga la carga útil. Para distinguirlas, usa estas dos comprobaciones: Grabar dispositivo, referencia, geografía, cookie estado y destino; y capturar el HTML, JavaScript URLs y cascada de red sin ejecutar descargas. Con esos datos podrás decidir si conviene aplicar la primera acción controlada —Retire el cargador local o de terceros y revoque el acceso comprometido a la publicación— o si debes conservar el estado actual y ampliar la investigación.
En una web comprometida, contener y limpiar son decisiones distintas. Conserva el archivo sospechoso y los registros de acceso antes de eliminar la persistencia, y rota las credenciales solo después de cerrar la vía activa. Documenta la fecha y hora exactas, la URL o transacción afectada, el último estado correcto conocido y cada cambio realizado durante el diagnóstico. Ese registro permite distinguir una reparación reproducible de una desaparición temporal del síntoma.
Qué no debes hacer
No descargue ni ejecute la actualización ofrecida en una estación de trabajo administrativa. Use análisis aislados y trate el destino como servidoril.
Cómo verificar la reparación
- Las condiciones originales del visitante ya no muestran el aviso.
- No queda ningún cambio de administrador de etiquetas ni script remoto no aprobado.
- Monitoreo de seguridad y verificación de la reputación del navegador mantenerse limpio.
Que el síntoma visible desaparezca no es suficiente. Cierra la incidencia solo cuando la acción original que fallaba, el recorrido de negocio relacionado y los registros relevantes confirmen que el problema ha desaparecido.