Un client et truca: “Escolta, quan cerco la teva empresa a Google, surt una cosa de Viagra”. Entres a la web i tot sembla normal. És el pharma hack, una de les infeccions més antigues i persistents de WordPress.
Com funciona
L’atacant injecta codi que modifica els títols, descripcions o contingut només quan la visita és d’un cercador. L’objectiu és posicionar farmàcies il·legals aprofitant el teu domini. Igual que l’spam japonès, fa servir cloaking perquè tu no ho vegis.
Sol amagar-se a:
- La base de dades (taula
wp_options, sovint amb noms que imiten opcions legítimes). - Plugins falsos o arxius afegits a plugins reals.
- Arxius del nucli modificats o arxius amb noms semblants als de WordPress.
Com comprovar-ho
- Cerca a Google
site:eltevodomini.com viagraosite:eltevodomini.com cialis. - Fes servir l’eina Inspecció d’URL de Search Console i mira la versió que veu Googlebot.
- Revisa si hi ha opcions estranyes i molt llargues a
wp_options.
Per què els plugins de seguretat de vegades no el detecten
Perquè el codi sol estar ofuscat (codificat en base64, dividit en trossos, xifrat) i canvia sovint. A més, si s’allotja a la base de dades, alguns escàners d’arxius ni la miren.
Com eliminar-lo
- Compara els arxius del nucli, plugins i temes amb les seves versions oficials.
- Revisa a mà la base de dades, especialment
wp_optionsiwp_posts. - Elimina usuaris i tasques programades (
cron) sospitoses. - Regenera les claus de
wp-config.php. - Sol·licita a Google que torni a rastrejar les pàgines afectades.
- Tanca la vulnerabilitat: gairebé sempre un plugin desactualitzat o un tema pirata.
Si no et vols barallar amb la base de dades, netegem el teu WordPress de principi a fi, amb informe inclòs i garantia de 30 dies.