Un informe de la firma de seguridad Sucuri ha puesto el foco en una variante de malware para WordPress conocida como SC. No se trata de un troyano cualquiera: está pensada para sobrevivir a la limpieza convencional y volver a levantarse aunque se eliminen partes visibles de la infección. La amenaza aprovecha copias redundantes y servicios públicos de Ethereum para mantener su canal de comunicación.
El caso interesa especialmente a quienes gestionan webs hechas con WordPress, desde blogs personales hasta tiendas online. En España y en el resto de Europa, muchos proyectos dependen de este gestor de contenidos, por lo que una infección persistente puede acabar afectando tanto al administrador como a los visitantes. Los detalles publicados por Sucuri y recogidos por medios especializados apuntan a un problema que no se resuelve con borrar un único archivo sospechoso.
Qué es el malware SC y por qué cuesta eliminarlo
SC se comporta como un sistema autorreparable. Su carga maliciosa puede aparecer en plugins, temas, la base de datos e incluso servidores compatibles con WordPress. Sucuri asegura haber detectado esa carga en al menos ocho ubicaciones distintas de forma simultánea, lo que rompe la idea de un único punto de fallo que pueda localizarse y borrarse.
La consecuencia práctica es incómoda: si el administrador limpia una copia y deja otra con capacidad suficiente para actuar, el malware puede reconstruirse y recuperar su presencia. Esa distribución explica por qué los métodos tradicionales, basados en buscar un archivo alterado o cortar una conexión central, pueden quedarse cortos.
Además, SC no se limita a esconderse. Entre sus capacidades está la de desactivar herramientas de seguridad y conservar acceso de nivel administrador dentro de WordPress. Eso complica la detección de cambios y puede alargar el control del atacante incluso cuando el equipo responsable cree haber limpiado el sitio.
Ethereum como infraestructura de mando
El aspecto más llamativo del informe es el uso de pasarelas RPC públicas de Ethereum para el comando y control. SC incluye una lista de alrededor de 20 proveedores RPC, servicios legÃtimos que permiten a aplicaciones, carteras y otro software interactuar con la red blockchain.
Los atacantes no habrÃan vulnerado Ethereum ni comprometido su protocolo, según lo descrito. Lo que hacen es aprovechar infraestructura pública y disponible para que el malware encuentre instrucciones. Si una pasarela se bloquea o deja de responder, SC puede probar con otras incluidas en su lista.
Esa redundancia reduce el efecto de un bloqueo puntual. La defensa no deberÃa depender solo de cortar una dirección concreta, porque el programa cuenta con varias rutas alternativas. La combinación de copias internas y conexiones externas es lo que convierte a esta variante en una amenaza especialmente persistente.
Robo de sesiones, inyecciones y riesgo en pagos
Otra de las capacidades señaladas es la recogida de tokens de sesión de administrador. Con ellos, el atacante puede mantener o conseguir acceso privilegiado sin limitarse a modificar el contenido visible. Eso abre la puerta a cambios profundos y dificulta recuperar el control de una cuenta comprometida.
SC también puede inyectar JavaScript en la parte pública del sitio. En una tienda online, ese código podrÃa ejecutarse durante el proceso de pago y usarse para capturar datos de la tarjeta o de la pasarela. La información disponible no concreta cuántos sitios o transacciones se han visto afectados.
Antes de actuar, el malware recopila información técnica mediante fingerprinting: URL y nombres de host, versión de WordPress, versiones de plugins instalados y otros datos que ayudan a conocer la configuración del objetivo. Cuanto más sepan los atacantes sobre el entorno, más fácil les resulta adaptar sus siguientes movimientos.
Qué implica para webs en España y Europa
Aunque el informe no ofrece cifras desglosadas por paÃses, cualquier instalación de WordPress en España o Europa puede ser un objetivo si mantiene plugins desactualizados o permisos débiles. La naturaleza transfronteriza de este tipo de ataques hace que la ubicación geográfica no sea una barrera por sà sola.
Los responsables de sitios web deberÃan revisar copias de seguridad, registros y archivos modificados, pero sabiendo que una limpieza parcial puede no ser suficiente. También conviene comprobar sesiones activas, usuarios administradores y posible código extraño en plantillas o extensiones.
En comercios electrónicos, el riesgo para los pagos añade presión. Si el malware conserva acceso y puede inyectar scripts, la confianza del usuario queda en juego. No se trata solo de recuperar la web, sino de evitar que los datos de clientes acaben en manos ajenas.
La alerta de Sucuri deja una idea clara: SC no es un problema que se solucione con una sola pasada de limpieza. Su capacidad para replicarse en varios componentes, su uso de pasarelas RPC de Ethereum y sus opciones para robar sesiones o inyectar código lo convierten en una amenaza difÃcil de erradicar. Para los administradores, la prioridad es revisar a fondo todo el entorno WordPress, mantener actualizaciones al dÃa y asumir que una infección de este tipo exige una respuesta más amplia que borrar un archivo concreto.
