Crisol Artesanos — limpieza de malware e infección recurrente

Resumen

Imunify360 detectaba SMW-INJ-CLOUDAV-php.bkdr.drpr-NP1682-4 y php.loader.stream_exec-PHPTRP2-4, limpiaba y la web volvía a infectarse. Causa: tres puertas traseras simultáneas que el antivirus de ficheros no eliminaba (instalador persistente + webshell + backdoors de WordPress). Todo ha sido neutralizado, limpiado y verificado.

Qué encontró el análisis

Vector	Detalle	Estado
wp-includes/class-wp-cache.php	No es de WordPress. Instalador persistente con payload base64: recreaba usuario admin adminwp y volvía a escribir los dos mu-plugins maliciosos en cada carga de la web.	Neutralizado
mu-plugins falsos	sucuri-app-core.php (recreaba admin sucuriapp con contraseña fija, «DON'T DELETE! SYSTEM PLUGIN») y health-check-api.php (ocultaba adminwp en el listado de usuarios). Más core-compat-33.php y dos stubs vacíos.	Neutralizado
wp-content/index.php	Webshell receptor de chunks por $_REQUEST['data'] (escritura de payloads en /tmp y ejecución).	Neutralizado
Dropper en uploads	uploads/2026/10/ibase_pconnection.php: ejecución de código bajo demanda vía POST (patrón php.loader.stream_exec). Marca de ejecución del 11-07 23:02. Más 16 PHP basura en uploads y revslider.	Neutralizado
Usuarios rogue	16 usuarios maliciosos/ocultos (adminwp, sucuriapp, root, manager_*, support_*, etc.).	Eliminados
Spam SEO casino	1.397 posts casino en 6 idiomas + 17 categorías spam + enlaces ocultos inyectados en 6 páginas legítimas + script ofuscado «cogni» en la Portada (incluido en Elementor).	Eliminado
Artefactos en themes	Theme «custom-file-3-1792249397» creado por el atacante (Hello Elementor modificado, stubs G0t6c8FG) y stub error.404.1792752629.php.	A cuarentena
Clon staging .wp-toolkit_E	Copia completa del sitio con todo el malware dentro (servible por web). Sin permisos para eliminarlo como usuario.	Aislado — pendiente borrado desde WP Toolkit

Acciones realizadas

• Barrido completo: 22.216 ficheros PHP con 12 firmas + búsqueda dirigida de patrones del atacante.
• 52 ficheros maliciosos movidos a cuarentena fuera del docroot: /home/crisol/malware-quarantine-20261108/ (borrable tras 30 días de estabilidad).
• Base de datos: respaldo previo de todo lo afectado (db-backup-20261108.json, 1,5 MB) y limpieza: 1.397 posts, 17 términos, 16 usuarios (2.015 contenidos reasignados a crisolartesanos_admin), páginas desinfectadas y datos de Elementor regenerables purgados.
• Salts de wp-config.php rotadas (todas las sesiones cerradas) y 3,5 GB de cachés LiteSpeed/lscache purgadas.
• Clon .wp-toolkit_E bloqueado por .htaccess (denegado PHP y acceso).
• Verificación final: usuarios crisolartesanos_admin y elena.bauer únicos; mu-plugins vacíos; sin PHP en uploads; 0 restos «cogni»/casino en HTML servido; Portada y wp-login responden 200.

Pendiente para el responsable del sitio

• Importante Cambiar la contraseña de crisolartesanos_admin y elena.bauer (sus hashes estaban expuestos a los atacantes).
• Actualizar/revisar plugins Post SMTP y RevSlider (vectores de entrada habituales; quedan logs de error recientes de Post SMTP).
• Eliminar el staging .wp-toolkit_E desde WP Toolkit (contenía todo el malware; ya está bloqueado pero conviene borrarlo).
• Revisar crontab -l -u crisol por SSH (el módulo cron de cPanel está roto en el servidor; no se pudo verificar por API).
• No restaurar los backups internos (wordpress-backups/, wpfm-private-backups/, backups-dup-pro/) sin revisarlos: podrían contener la infección.
• En 30 días sin incidentes, vaciar la carpeta de cuarentena.