El malware de falsa actualización del navegador suele ser una inyección en la web, no un problema del navegador. El visitante ve un aviso convincente porque código comprometido de WordPress, un recurso externo o una capa CDN modifica la página que recibe.
Captura la respuesta afectada antes de eliminar el aviso
Guarda HTML renderizado, URLs de scripts, destino de redirección y hora. Compara un navegador afectado con una petición limpia y comprueba si la inyección depende de dispositivo, referrer, geografía o estado de sesión.
Separa inyección local y recurso externo comprometido
- Revisa archivos de tema y plugins modificados recientemente.
- Busca scripts inline y dominios JavaScript remotos inesperados.
- Comprueba opciones de base de datos y widgets capaces de inyectar markup.
- Verifica reglas de CDN/edge y cambios en el gestor de etiquetas.
Sigue la vía de entrada, no solo el script visible
Si aparece PHP ejecutable en uploads, compara archivos PHP maliciosos en wp-content/uploads. Si el payload visible está guardado o configurado en base de datos, revisa persistencia maliciosa en wp_options.
Contén sin destruir la cadena de evidencia
Si es necesario, corta el acceso público a la respuesta maliciosa, pero conserva el archivo o configuración sospechosos y los logs relevantes antes de limpiar.
Reconstruye la ruta de entrega comprometida
- Elimina loader y payloads confirmados.
- Actualiza o sustituye el componente o cuenta vulnerable.
- Rota credenciales privilegiadas y tokens de terceros relacionados.
- Purga CDN, caché de página y cachés de cara al navegador solo cuando el origen esté limpio.
No bloquees únicamente el dominio final de redirección
El código inyectado puede cambiar de dominio mientras el componente comprometido sigue sirviendo el engaño.
Verificación en distintos contextos
Prueba sesiones autenticadas y anónimas, varios dispositivos y tráfico directo/referral. HTML y peticiones de red deben seguir limpios tras expirar cachés y no debe volver ninguna inyección por cron o base de datos.