Infostealers en WordPress: por qué tu web no deja de infectarse (y cómo romper el ciclo)

«Limpié la web y a los pocos días volvía a estar hackeada.» Es una de las frases que más repiten los dueños de sitios WordPress, y detrás de ella casi siempre hay lo mismo: una infección que nunca se eliminó del todo y, cada vez más, un infostealer que ha robado las credenciales de acceso desde el propio ordenador del administrador. Por eso muchas webs entran en un bucle: se «limpian», parecen sanas y se vuelven a infectar solas.

En este artículo explicamos qué son los infostealers, cómo WordPress acaba a la vez siendo víctima y arma de estas campañas, por qué la reinfección es tan habitual y —sobre todo— cómo romper el ciclo de verdad, no solo aparentemente.

Qué es un infostealer (y por qué le importa a tu WordPress)

Un infostealer es un tipo de malware diseñado para robar información de forma silenciosa: contraseñas guardadas en el navegador, cookies de sesión, credenciales de FTP y hosting, tokens y hasta monederos de criptomonedas. Familias como Lumma (LummaC2), RedLine, Vidar o Raccoon llevan años dominando este mercado. Su gracia es que operan «bajo el radar»: no cifran nada ni rompen nada, solo copian tus datos y los envían al atacante.

¿Qué tiene que ver esto con tu WordPress? Mucho. Si un infostealer infecta el portátil desde el que administras tu web, puede robar:

• La contraseña de wp-admin guardada en tu navegador.
• Las credenciales de FTP/SFTP y del panel de hosting.
• Las cookies de sesión activas (con las que el atacante entra sin necesidad de tu contraseña ni del 2FA).

Con eso, el atacante no «hackea» tu web: entra por la puerta principal con tus llaves. Y aquí está la clave de por qué limpiar la web no siempre soluciona nada.

WordPress como «campo de siembra»: el ataque de doble filo

WordPress no solo es víctima de los infostealers; también se ha convertido en el vehículo favorito para distribuirlos. El esquema, documentado extensamente por firmas como Sucuri, funciona así:

1. El atacante compromete un WordPress (mediante un plugin vulnerable, credenciales robadas o un backdoor) e inyecta código malicioso.
2. A los visitantes de esa web les aparece una falsa verificación de «no soy un robot» —un CAPTCHA o una pantalla que imita a Cloudflare— del estilo «ClickFix».
3. La página les pide «pegar y ejecutar» un comando en Windows para «verificarse». Ese comando descarga e instala un infostealer como LummaStealer.
4. El equipo del visitante queda infectado y sus credenciales, robadas. Si ese visitante administra otras webs, el ciclo se realimenta.

Es un círculo perfecto: webs comprometidas infectan a usuarios, esos usuarios comprometen más webs con las credenciales robadas. La automatización de todo este proceso es justo lo que analizamos en nuestro artículo sobre la IA ofensiva contra tiendas online.

Por qué tu web no deja de infectarse

La reinfección casi nunca es «mala suerte». Suele deberse a uno (o varios) de estos tres mecanismos:

1. Puertas traseras que recrean administradores

El malware moderno no se limita a crear un usuario admin: deja un trozo de código que lo vuelve a crear cada vez que se carga la web. Puede esconderse en el functions.php del tema, en wp-content/mu-plugins/ (los must-use plugins, que se cargan siempre) o en falsos plugins con nombres creíbles como wp-compat, CacheFusion, CDNConnect o DebugMaster. Por eso, si borras el usuario pero no el código, el usuario reaparece en el siguiente clic. Muchos de estos backdoors incluso envían las credenciales del nuevo admin a un servidor del atacante y se ocultan del listado de plugins.

2. Malware que vive en la base de datos

Este es el gran punto ciego. La mayoría de escáneres de seguridad (incluidos los más conocidos) revisan archivos, no el contenido de la base de datos. Los atacantes lo saben y aparcan sus payloads en tablas como wp_options, wp_posts o wp_usermeta. Un truco frecuente es esconder los permisos de administrador mediante capacidades serializadas en wp_usermeta, de forma que la fila del usuario en wp_users parece inofensiva. El resultado: tu plugin de seguridad dice «sitio limpio»… y es verdad a medias, porque no ha mirado donde está el problema.

3. Credenciales robadas de tu propio equipo

Y el más difícil de ver: si un infostealer robó tus credenciales del navegador o tus cookies de sesión, puedes limpiar la web mil veces que el atacante volverá a entrar como administrador legítimo. No hay backdoor que buscar en la web porque el problema está en tu ordenador. Hasta que no cambies todas las contraseñas y limpies el equipo infectado, el ciclo no se rompe.

Cómo detectar una infección persistente

• Descuadre en el número de usuarios. Si el contador de «Usuarios» no coincide con lo que ves, casi seguro hay un admin oculto mediante un filtro pre_user_query.
• Administradores fantasma. Cuentas con fechas de registro imposibles (1979-01-01 o 0000-00-00), email vacío o nombres como adminbackup, help, support, wp_update- o wpcron.
• Ficheros sospechosos en mu-plugins/, plugins que no instalaste o archivos sueltos en la raíz con nombres que imitan a WordPress.

Una consulta como esta suele destapar administradores plantados directamente en la base de datos:

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
WHERE u.user_registered IN ('1979-01-01 00:00:00', '0000-00-00 00:00:00')
   OR u.user_email = '';

Si aparecen filas ahí, tienes un problema de persistencia, no una infección puntual.

Cómo romper el ciclo de reinfección

El orden importa. Hacerlo mal (por ejemplo, borrar el usuario antes que el código) es la razón número uno por la que las webs «limpias» vuelven a caer. Esta es la secuencia correcta:

1. Primero, elimina el código malicioso. Revisa functions.php, wp-content/mu-plugins/, plugins falsos y cualquier fichero modificado recientemente. Hasta que el código no desaparezca, no toques los usuarios.
2. Después, elimina los usuarios y datos maliciosos. Borra los administradores fantasma (con wp user delete, que también limpia sus metadatos) y revisa las tablas de la base de datos.
3. Rota TODAS las credenciales. Contraseña de administrador de WordPress, contraseña de la base de datos en wp-config.php, panel de hosting/cPanel y FTP/SFTP. Todas, con valores largos y aleatorios.
4. Regenera las salts. Con wp config shuffle-salts invalidas todas las cookies de sesión robadas, incluidas las que tuviera el atacante.
5. Cierra todas las sesiones. wp user session destroy --all-users obliga a que todo el mundo vuelva a iniciar sesión.
6. Limpia el ordenador infectado. Este paso se olvida siempre y es el más importante si hubo un infostealer: si tu equipo sigue comprometido, volverán a robarte las nuevas contraseñas. Pasa un antimalware serio o, en caso de duda, reinstala.
7. Activa el 2FA en WordPress y en el hosting. Aunque roben una contraseña, el segundo factor corta el acceso.

Cómo evitar volver a caer

• Mantén WordPress, temas y plugins actualizados. La vía de entrada inicial suele ser un plugin vulnerable sin parchear.
• Reduce la superficie. Desinstala plugins y temas que no uses; no los dejes «desactivados».
• WAF por delante. Bloquea intentos de explotación conocidos y frena los bots antes de que lleguen a tu wp-login.php.
• Monitorización de integridad. Alertas ante cambios de ficheros, nuevos usuarios admin o modificaciones en la base de datos.
• Backups verificados y frecuentes. Para poder restaurar una copia anterior al compromiso con garantías.
• Gestor de contraseñas + 2FA en lugar de guardar las claves en el navegador, que es justo lo que roban los infostealers.

El eslabón humano: por qué el navegador es el nuevo objetivo

Durante años, la seguridad web se centró en el servidor: cortafuegos, parches, permisos. Pero los infostealers han cambiado el campo de batalla. Hoy, la forma más sencilla de comprometer una web bien protegida no es atacar el servidor, sino atacar a la persona que lo administra.

El navegador se ha convertido en una caja fuerte con demasiadas llaves dentro: contraseñas autoguardadas, sesiones abiertas de decenas de servicios, tokens de acceso… Un solo infostealer en tu equipo entrega todo eso al atacante de una vez. Por eso ver la seguridad de tu web sin cuidar la de tu propio equipo es como blindar la puerta y dejar la ventana abierta.

Algunas costumbres reducen mucho este riesgo:

• No guardes contraseñas en el navegador. Usa un gestor de contraseñas dedicado con su propia clave maestra.
• Desconfía de las «verificaciones» que te piden ejecutar comandos. Ningún CAPTCHA legítimo te pide pegar código en Windows. Ese es el patrón «ClickFix» que instala infostealers.
• Administra desde equipos limpios y actualizados. Y si sospechas de una infección, no cambies contraseñas desde ese equipo hasta limpiarlo.
• 2FA en todo. Aunque roben una contraseña, el segundo factor puede salvarte (salvo si roban también la cookie de sesión, de ahí la importancia de regenerar salts tras un incidente).

Cómo lo hacemos en Sysprovider

Romper de verdad el ciclo de reinfección requiere ir más allá de un escáner de archivos. Nuestro hosting gestionado para WordPress incluye servidor endurecido, WAF y actualizaciones supervisadas para cerrar la vía de entrada más habitual.

Y con SysSecure 360 añadimos la vigilancia que detecta lo que los plugins de seguridad no ven:

• NOC con monitorización 24/7 y gestión de CVEs: control de integridad, alertas ante nuevos administradores y seguimiento de vulnerabilidades de plugins.
• Copias verificadas y Disaster Recovery: para restaurar una versión limpia y salir del bucle sin perder datos.

Cuando una web ya está infectada, no vale con «pasar el antivirus»: hay que eliminar el código, purgar la base de datos, rotar credenciales y regenerar salts en el orden correcto. Es exactamente el tipo de intervención que hacemos a diario. Si te interesa la seguridad en tiendas, complementa esta lectura con nuestra guía de seguridad en PrestaShop y Magento.

Preguntas frecuentes

¿Por qué mi web se reinfecta aunque paso el antivirus?

Casi siempre por una de estas tres razones: queda una puerta trasera que recrea los administradores, hay malware alojado en la base de datos (que los escáneres de ficheros no ven), o tus credenciales fueron robadas por un infostealer y el atacante entra como usuario legítimo. Hasta que no cierras las tres vías, el ciclo continúa.

¿Sirve de algo reinstalar WordPress?

Ayuda con el código del núcleo, pero no resuelve el problema si la infección está en la base de datos, en un plugin que reinstalas o en tus credenciales robadas. Reinstalar sin rotar credenciales ni limpiar la base de datos suele acabar en otra reinfección.

¿El 2FA me protege de los infostealers?

En parte. El 2FA frena a quien roba solo tu contraseña, pero si el infostealer roba también las cookies de sesión, puede saltárselo. Por eso, tras un incidente, es imprescindible regenerar las salts para invalidar todas las sesiones robadas.

¿Cómo evito que mi WordPress infecte a mis visitantes?

Manteniéndolo actualizado y libre de código malicioso, con un WAF por delante y monitorización de integridad. Una web comprometida que sirve falsos CAPTCHA a sus visitantes daña tu reputación y puede acabar en listas negras de Google.

Conclusión

Si tu WordPress «no deja de infectarse», no estás ante mala suerte ni ante un WordPress especialmente frágil: estás ante una infección persistente que nunca se eliminó por completo, o ante unas credenciales robadas por un infostealer que siguen en manos del atacante. La solución no es limpiar más veces, sino limpiar bien y en el orden correcto, rotar todo y cerrar la puerta por la que entran.

En Sysprovider ayudamos a salir de ese bucle y, sobre todo, a no volver a entrar: hosting endurecido, vigilancia continua y copias con las que restaurar con garantías. Si reconoces tu caso en este artículo, escríbenos y lo revisamos contigo.