Potencia Pro 349: Por qué un WordPress limpiado se vuelve a infectar
Episodio 349 de potencia.pro, grabado andando de camino a casa. Gracias a VozCaster, la herramienta que Miguel Angel Terrón ha creado, el capítulo está publicado antes de que cruce la puerta. Eso sí, hay una noticia poco agradable: a partir del 1 de enero subirá el precio de los planes. Echó bien las cuentas y descubrió que, con el coste de la IA, un suscriptor que usara todo lo prometido le salía ruinoso. Lo de subirlo en enero y no ya es puro trámite, porque ahora mismo los suscriptores son cero y la bancarrota queda bastante lejos.
Tema del día: el virus que vuelve
Todo el que ha sufrido un WordPress hackeado conoce el síntoma. Limpias la web, respiras, y a los dos o tres días el bicho reaparece sirviendo publicidad o lo que le dé la gana. Puede que la infección venga de otra web del mismo hosting compartido, pero Miguel Angel se centra en lo que sí controlamos: nuestra instalación.
La razón de fondo es que herramientas como Wordfence comparan tus archivos con las versiones oficiales. Pero en WordPress hay muchos archivos que no existen en el original porque se generan con el uso, y ahí el virus se esconde con facilidad. Estos son los nueve sitios que conviene revisar:
La carpeta mu-plugins (must use). Los plugins que viven ahí no aparecen en la lista, no se pueden desactivar desde el panel y se cargan siempre. Miguel Angel confiesa que alguna vez la usó con clientes de poca confianza para recrear automáticamente su propio usuario administrador si alguien lo borraba. Con el consentimiento del cliente, claro, y por escrito.
Cuentas de administrador fraudulentas. Es la puerta de entrada más obvia para volver cuando quieran.
Archivos PHP de caché. Los ficheros tipo object-cache.php, db.php o advanced-cache.php parecen legítimos y pueden llevar el virus dentro. Como la caché siempre se puede borrar, la solución es eliminarlos.
La base de datos. En hostings compartidos con MySQL o MariaDB sin actualizar desde hace siglos, el virus puede esconderse en una fila de la tabla de opciones, con un trocito de JavaScript que se ejecuta al cargar.
Las tareas cron. El virus puede programar una acción que lo reactive y ejecute PHP, y nadie suele mirar el cron.
El functions.php del tema. Sobre todo si usas un tema hijo, nadie lo toca ni lo pisa en las actualizaciones.
Un .htaccess camuflado que llama a otro archivo oculto con el código.
Archivos de 0 bytes que en realidad no están vacíos. El escáner los ignora porque cree que no hay nada.
Una puerta trasera por SSH con una clave no legítima. Es difícil de conseguir, pero posible.
Como la IA también sirve para defender, Miguel Angel enlaza en su artículo una herramienta de limpieza de malware con IA que busca justo en estos rincones, como lo haría un técnico con experiencia.
En la charla se coló una anécdota de seguridad: se contaba que se habían filtrado credenciales de acceso a la red del Pentágono porque un usuario se las dio a Claude y este las copió a GitHub en un fichero .env. La moraleja que sacan es que los mayores agujeros de seguridad siguen siendo las personas. Y de ahí vienen chistes sobre agujeros que no se pueden reproducir aquí.
Art Craft: 16 apps libres hechas con IA
Miguel Angel ya lo había comentado en Enteratech, y Mariano lo tenía en la escaleta. Es una suite llamada Art Craft (getartcraft.com), obra de un ingeniero de software con una startup. Su idea fue pasarle a Claude las aplicaciones caras de Adobe, Office y Autocad y pedirle que las recreara en Rust. El resultado:
Hasta 16 aplicaciones, entre ellas equivalentes de Photoshop, InDesign, PDF, vídeo y audio, además de Word, Excel y PowerPoint.
Un Autocad en marcha, que es el más difícil, y eso que la licencia anual del original ronda los 2.300 euros.
Código abierto en GitHub, gratis y multiplataforma: Mac, Windows, Linux y web.
Estados de desarrollo visibles en cada ficha (early alpha, in development…). La última vez que lo miraron, algunas apps tenían ya un 60 o 70 % de las funciones.
Los usuarios piden lo que falta y se va añadiendo.
Solo se paga por usar la IA dentro de los programas, por ejemplo para pedirle a Photoshop un cuadro de Van Gogh con tu propia habitación. Aunque no lo uses a diario, viene muy bien para abrir un archivo de Photoshop en una urgencia sin tener licencia.
liberate.sh: sacar tu contenido de donde esté
Otra pieza del mismo estilo es liberate.sh. Nació para sacar el contenido de Wix y ahora, con IA, funciona con casi cualquier web: navega, extrae todo y lo lleva a WordPress, Astro o donde quieras. Entre sus opciones aparecen también Shopify y Spotify. Es el viejo scraping con esteroides, y la duda es si los hostings lo detectarán, aunque probablemente no, porque no genera ráfagas de peticiones como antes.
Plugins del día
Primero, uno de caché pensado para WordPress sin cabeza, es decir, usado como panel de control con el frontal en Astro u otra tecnología. Se llama Frosty y guarda en caché las respuestas de la API REST, que es lenta porque tira de la base de datos. Resulta útil en tiendas o cuando se hacen muchas llamadas.
Segundo, el plugin de Miguel Angel, Materron Download Word. El nombre extraño tiene su historia: al subirlo al repositorio le pidieron una marca delante, no le gustó poner potencia y fue la revisión inicial con IA quien le sugirió Materron. Nació de un episodio muy concreto: alguien con nombre y correo falsos (de los de solo números) se suscribió a potencia.pro, se descargó todo el contenido a mano, clic a clic, y canceló justo después. Como no existía nada que lo evitara, lo creó él:
Límites de descargas diarias y mensuales por perfil de usuario, sea cual sea el tipo de suscripción.
Menos descargas durante el primer mes de un suscriptor nuevo.
Filtro de registros con nombres raros y comprobación del DNS del correo.
Compatibilidad con los sistemas de restricción y descarga habituales, como Easy Digital Downloads, Download Monitor o los productos descargables de las tiendas.
Es gratuito, está en el repositorio de WordPress, y Miguel Angel pide estrellitas y corazoncitos. David Pérez, desde Granada, ya lo ha revisado. De paso, hubo comparaciones de su aspecto con Michael Knight y Buzz Lightyear, con victoria clara para el astronauta.
VozCaster, la gaceta y los Reyes
Miguel Angel pide que alguien instale el plugin de VozCaster aunque sea en la versión gratuita y le saque fallos, porque hasta ahora no lo ha instalado nadie. Reconoce que es un nicho pequeño, el de quien tiene un podcast en su propia web con PowerPress. Lo vende como lo contrario a las plataformas cerradas: el hosting y el contenido son tuyos.
Además, en potencia.pro hay una opción de menú, Conectar a VozCaster, para que los suscriptores envíen audios por el bot de Telegram o por la app. Si gustan, se publican como episodios. Para los suscriptores usa IA local con Ollama en su ordenador y no Claude, que le cuesta dinero.
Para cerrar, los recordatorios habituales: apuntarse a la gaceta de la comunidad para recibir el resumen de los episodios, entrar en el Telegram de potencia.pro y comprar por el enlace de Amazon de la web, que no cuesta más y deja una comisión ridícula. Y un último chiste sobre un matrimonio que lleva dos días sin hablarse.
¿Te ha gustado el episodio? Si quieres que sigamos experimentando con bots, protocolos y empanadillas polacas, no olvides suscribirte y dejarnos tu valoración. ¡Nos escuchamos en el próximo capítulo!
Métodos de contacto
Enviadnos vuestras preguntas al grupo de Telegram.
Apuntaos al canal de Youtube del podcast https://www.youtube.com/potenciapro
Si nos queréis decir algo directamente lo podéis hacer a @potenciapro , @materron, @mpc, o en el grupo de Telegram
Y si eres muy muy muy fan del podcast
Echa un vistazo a cómo nos puedes ayudar en https://potencia.pro/se-prosperoso/