Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración editorial de persistencia en WordPress mediante plugins, base de datos y memoria.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

Según la cobertura de The Hacker News del análisis de Sucuri, la puerta trasera denominada SC mantiene copias y mecanismos de reconstrucción en al menos ocho ubicaciones, entre archivos, base de datos y memoria compartida.

La configuración .user.ini emplea auto_prepend_file para ejecutar un cargador antes de cada petición PHP en el árbol de directorios afectado.

Los componentes db.php y advanced-cache.php pueden restablecer el complemento malicioso; el segundo recurre también a memoria compartida System V, un archivo ZIP y la base de datos.

El mismo código malicioso se instala como complemento de uso obligatorio y como complemento ordinario bajo el nombre hyper-engine-kit.

Según Sucuri, la puerta trasera puede ocultarse de la pantalla de complementos, crear una cuenta administradora oculta, ejecutar PHP y recuperar cargas adicionales mediante un canal que utiliza Ethereum.

Sucuri señala que los ganchos cron pueden activar la reinstalación programada, incluso sin tráfico de visitantes; el método de acceso inicial permanece desconocido.

Análisis de Defensops

El hallazgo cambia la unidad de análisis de un archivo sospechoso al estado completo de la instalación y su entorno PHP. Una limpieza limitada al directorio de complementos podría dejar activadores capaces de restaurar la carga en la siguiente petición o tarea programada. La persistencia descrita tampoco prueba que todas las instalaciones de WordPress compartan la misma exposición: exige una intrusión previa y algunos mecanismos dependen de la configuración del servidor, como la disponibilidad de memoria compartida System V o de la caché avanzada.

La doble instalación como complemento y la presencia de cargadores tempranos dificultan confiar en la vista administrativa para confirmar una eliminación. Para valorar el alcance en un sitio concreto hay que correlacionar archivos, opciones y contenido de base de datos, cuentas administrativas, tareas programadas y procesos PHP. La comunicación apoyada en infraestructura blockchain tampoco identifica por sí sola un dominio de mando único que se pueda bloquear como solución completa.

The Hacker News atribuye estos detalles a Sucuri; la información disponible no establece cómo se produjo el acceso inicial ni cuantifica instalaciones comprometidas. Los vectores habituales que enumera la publicación son hipótesis generales, no una atribución de esta campaña. La prioridad operativa es preservar evidencia y comprobar todos los puntos de persistencia antes de declarar que un sitio está limpio.

Prioridades de revisión

Con urgencia, aislar de la exposición pública cualquier instalación donde aparezcan los archivos o el complemento indicados y conservar copia de archivos, base de datos y registros antes de limpiarla.

Revisar .user.ini, db.php, advanced-cache.php, functions.php del tema activo y las rutas de mu-plugins y plugins para localizar copias, cargadores y cambios inesperados; comparar con una versión íntegra conocida.

Comprobar cuentas administradoras desconocidas, tareas cron de sistema y WordPress, y segmentos de memoria compartida System V cuando el servidor admita esa función.

Tras eliminar todos los componentes confirmados, supervisar peticiones y tareas programadas para verificar que no se recrean archivos ni reaparece el complemento; si reaparecen, reabrir la investigación.

Investigar el acceso inicial con registros y cambios de credenciales y componentes, sin asumir que una vulnerabilidad concreta fue el vector de entrada.

Qué no se ha confirmado

No se conoce el mecanismo que permitió instalar inicialmente esta puerta trasera.

La fuente no indica el número de sitios afectados ni si se observaron cargas adicionales en todos ellos.

La disponibilidad y el papel de la memoria compartida System V dependen del servidor concreto.

Fuente

The Hacker News. Fecha indicada: 2026-10-01.