La página que te infectó parecía completamente normal. De eso se trataba
Casi 2.000 sitios de WordPress hackeados se convirtieron, sin que nadie lo notara, en un servicio de reparto de malware que copia archivos de billeteras cripto y, en algunos casos, bloquea el ordenador entero. Ninguno parecía sospechoso, porque ninguno fue creado para parecerlo.
Una campaña que los investigadores llaman StopAndProtect tomó el control de cerca de 2.000 sitios de WordPress. De los normales: tiendas pequeñas, blogs, negocios de barrio, páginas de portafolio. Los dueños no hicieron nada mal a propósito. Sus sitios siguieron funcionando, con el mismo aspecto de siempre, mientras a los visitantes les servían algo extra.
Según el informe de Decrypt sobre la campaña, ese algo extra hacía tres trabajos: instalar malware, buscar archivos de billeteras cripto en el ordenador y, en algunos casos, soltar ransomware, el programa que cifra todo lo que tienes en el disco y luego te pide dinero. Una sola entrada, tres formas de cobrar.
Aquí está la parte que casi todo el mundo entiende mal sobre los hackeos. Casi nadie se infecta en un rincón turbio de internet. Te infectas en una página que se parece a las que has visto cien veces, porque alguien entró en el sitio de otra persona y lo reconvirtió sin hacer ruido. WordPress mueve una parte enorme de la web: justo la parte de los negocios pequeños, de una sola persona, montada una vez y olvidada. Es exactamente la parte que nadie actualiza.
Dos mil sitios hackeados no son dos mil víctimas. Son dos mil puertas.
Y la parte cripto es más simple de lo que suena. Si guardas monedas en una app o en una extensión del navegador de tu portátil, tu billetera vive en esa máquina como un archivo. Copian el archivo, consiguen la contraseña o registran tus pulsaciones de teclado, y las monedas se van. Sin exchange, sin línea de atención al cliente, sin vuelta atrás. Por eso los archivos de billetera son lo primero que busca este tipo de malware: es el único botín de tu ordenador que se convierte en dinero el mismo día.
El ransomware encima es el plan B. Si no tenías nada que valiera la pena robar, te bloquean los archivos y te los revenden a ti mismo. La lógica es brutal, pero evidente: una vez que ya pagaste por entrar, conviene probar todas las maneras de sacarle rendimiento.
Dos grupos, y rara vez son la misma gente. Primero: cualquiera que tenga su cripto en una app o en una extensión del navegador, en el mismo portátil con el que hace todo lo demás. O sea, la mayoría de los menores de 35 con sus primeros mil o dos mil en monedas. Una billetera de hardware parece un pendrive carísimo justo hasta el día en que es la única razón por la que todavía tienes dinero. Segundo: cualquiera que administre un sitio en WordPress. Freelancers con su página de portafolio, tiendas chicas, un proyecto paralelo que está online desde 2019 con plugins que nadie tocó desde entonces. Si tu sitio es uno de los 2.000, tú no eres el objetivo. Eres el arma, y el objetivo son tus visitantes.
Hay que estar atentos a que se nombre la puerta de entrada. Campañas así casi siempre pasan por un plugin o un tema desactualizado, y en cuanto los investigadores de seguridad publican cuál es, arreglarlo se vuelve tarea de cinco minutos para el dueño del sitio. Ahí, además, la cuenta de infectados suele subir, porque el escaneo encuentra sitios que nadie había contado. Lo segundo a mirar: si en la próxima actualización la cifra se queda cerca de 2.000 o trepa. Y del lado cripto, si aparecen billeteras robadas vaciándose en bloque en la cadena. Ese será el momento en que sabremos cuánto ganó esto de verdad.
Lo incómodo no es el malware. Es que el punto débil de internet son miles de sitios pequeños administrados por gente que no tiene idea de que está administrando infraestructura. El blog de una panadería no es un perímetro de seguridad. Pero ahora lo es.
Fuentes: Decrypt, «Nearly 2,000 Hacked WordPress Sites Turned Into Criminal Infrastructure»
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones