WordPress favicon malware removal.

§ 01 — MECANISMO

Un favicon es solo una imagen. Hasta que deja de serlo.

El truco es simple: el atacante coloca un archivo llamado favicon.ico_bak, favicon_baddc6.ico o wp-favicon.php en sus directorios de WordPress. La mayoría parecen copias de seguridad normales. Algunos son en realidad PHP que el servidor ejecuta al llamarlos del modo correcto.

Los proveedores de hosting y los plugins de seguridad ignoran archivos que parecen imágenes, y por eso el atacante escoge ese disfraz. Listamos cada archivo similar a un favicon, lo comparamos con un WordPress limpio y confirmamos qué es realmente.

01 find . -type f \( -name 'favicon*.ico*' \\
02     -o -name 'favicon*.php' \\
03     -o -name '*-favicon*' \)
04
05 // Anything outside the theme root, or any PHP file
06 // in the list, is a candidate for a backdoor.

§ 02 — QUÉ ELIMINAMOS

Cada lugar donde se esconde esta infección.

• [ TRIAGE DE PLUGINS ]

  Cada archivo con nombre similar a favicon se lista e inspecciona — cabeceras de imagen, tamaño, fecha de última modificación.

• [ ARCHIVOS ]

  Archivos favicon falsos eliminados. El PHP disfrazado de imagen se extrae antes de borrarlo para saber qué hacía.

• [ BACKDOORS ]

  La backdoor que las colocó — normalmente en wp-content/uploads o mu-plugins — se encuentra y se elimina.

• [ BASE DE DATOS ]

  wp_options y widgets activos revisados en busca de persistencia relacionada. Tareas programadas auditadas.

• [ ENDURECIMIENTO ]

  Ejecución PHP desactivada en directorios de uploads. Permisos endurecidos para que el truco no se pueda repetir.

• [ INFORME ]

  Informe forense en lenguaje claro, vector de entrada nombrado, qué cambiar antes de devolverle las llaves.

§ PRECIOS

Tarifa plana $279. Pago único. Por sitio.